安全漏洞标签
- 1人工智能Parameter Labs披露ChatGPT漏洞 赏金仅5000美元★★★★☆AI Pulse, 2026-11-01 07:00 (摘录)原标题: Parameter Labs：ChatGPT漏洞可窃取数据，OpenAI赏金仅5000美元
Parameter Labs 披露了在 ChatGPT artifacts 模式（OpenAI 曾称 Canvas，最新修订版似叫 HTML previews）实现中发现的漏洞。
该模式下交互式自定义 HTML 应用在沙箱化 iframe 中显示，必须严格沙箱化以防不可信代码与 OpenAI API 交互并访问私人数据。
Parameter 发现的攻击链相当复杂：OpenAI 在图形支持中使用 MathLive JavaScript 库，该库自带虚拟键盘，可从沙箱化 iframe 中通过 postMessage() 在父页面触发；那段消息接收代码使用了 innerHTML，任何发送消息者都可向父页面注入自定义 HTML，且没有机制阻止其他沙箱化框架（包括 HTML preview 框架）调用该方法。
也就是说，iframe 中的不可信代码可插入 HTML；虽然 innerHTML 不会直接执行脚本元素，但可用来注入一个不受沙箱限制的新 iframe。OpenAI 的 CSP 规则完全阻止内联脚本。报道标题指出 OpenAI 对此漏洞的赏金仅 5000 美元。
阅读原文 → - 2技术恶意软件用大模型按身价给受害者排序★★★☆☆Hacker News (best), 2026-10-31 21:29 (仅标题)原标题: Malware uses LLMs to rank victims by how much they're worth
据标题报道，一种恶意软件利用大语言模型（LLM）根据受害者的价值高低进行优先级排序，与Volta信息窃取器相关。
阅读原文 → - 3技术Parameter.ai 称发现 OpenAI 漏洞并接管 ChatGPT 账户★★★★☆Hacker News (front page, 100+ points), 2026-10-31 17:30 (仅标题)原标题: Do the math: How we took over ChatGPT accounts
Parameter.ai 实验室发布文章，标题为《算一算：我们是如何接管 ChatGPT 账户的》，声称发现 OpenAI 存在一处安全缺口，并借此接管了 ChatGPT 账户。该文在 Hacker News 首页获得 321 分、157 条评论，属于社区热议话题。
文章链接指向 parameter.ai/labs/we-found-a-gap-at-openai。
阅读原文 → - 4技术Scribd 承认发生数据泄露事件★★★★☆Hacker News (best), 2026-10-31 09:46 (全文)原标题: Tell HN: Scribd Breached
Scribd, Inc.（旗下含 Scribd、Slideshare、Everand、Fable）于 2026 年 10 月 26 日通过通知合作方 Epiq 向用户发送《安全事件通知》，称近期发生安全事件，未经授权的第三方可能已访问其某个系统中的部分用户数据，可能涉及的信息包括：用户电子邮箱地址、信用卡后四位及所属国家、发卡机构、信用卡有效期以及支付历史（不含信用卡完整信息）。
公司表示没有证据表明这些数据已被滥用，但出于谨慎仍告知用户。Scribd 提醒用户警惕冒充其品牌的钓鱼攻击，强调绝不会通过邮件或短信索取用户名、密码等敏感信息，并建议用户不要在可疑信息中点击链接，而是直接在浏览器中输入 scribd.com、slideshare.net、everand.com 或 fable.co；用户可拨打 +1-877-361-9887（中部欧洲时间周一至周五 11:00 至 23:00）或通过帮助中心报告。
公司称已采取措施：封堵受影响系统、终止未授权访问，通知执法部门和相关数据保护机构，并与第三方网络安全公司合作加强访问控制与监控。Scribd 对事件致歉，承诺如有进一步变化会继续更新。该帖在 Hacker News 获得 340 分、121 条评论。
阅读原文 →