網頁摘要釣魚：ChatGPT 如何被內容誘導成釣魚介面

G005 在顯示回答前，移除模型產生的遠端圖片、QR Code 圖片、HTML／CSS／SVG 子資源與參考式圖片連結，並要求停用自動連結預覽。以公開範例執行的獨立瀏覽器測試，沒有觀察到自動對外請求。一般可點擊連結與純文字假警示仍會保留，因此還需要網址政策、來源標示與使用者動作檢查。這是產品端可整合的防禦做法，不代表 ChatGPT 已部署。

這條攻擊依賴可用網址、短網址、重新導向、圖片和 QR Code 連線目標。URL 正規化與 allowlist 過濾應該把每個連線目標轉成標準形式、解析重新導向，只允許連到核准過的外部網址，其他像內網、localhost 或 metadata IP 都要擋下，並在背景擷取、預覽或啟用渲染連結前先通過政策檢查。

G001 可移除擷取內容中的主動式 HTML 元素與標記，限制輸入大小，並保留由閘道指定的不可信來源資訊。它不會移除一般文字裡的惡意指令或 Markdown 語法、不會解讀 QR Code，也不能阻止模型重新產生連結與圖片。外部文字須留在資料訊息中，回答則須經過另一道輸出放行檢查。

把 G004 審查機制放在確切的網頁擷取文字送入模型前，要求經過驗證、綁定本次請求與政策的判定；發現攻擊、逾時或結果格式錯誤時拒絕放行。審查服務須針對改寫指令與假警示校準；閘道範例沒有提供這個偵測器，一般結構或 Unicode 檢查也不會拒絕格式正確的惡意文字。

ChatGPhish 本質上是出口控管問題：來自不可信網頁的值，流進可點擊連結、遠端圖片載入、QR Code 和釣魚 UI。凡是來自網頁的文字、連結或圖片，都要標成外部來源；在這些內容變成外部連線、圖片載入或可點擊動作之前，系統應該先擋下或降級。這需要可控的執行環境，為每個衍生值維持可驗證的來源及內容綁定，涵蓋所有出口；標記不明時須拒絕。只在入口加標籤，無法追蹤模型任意改寫。本機程序、瀏覽器請求及允許的連線目標須另行驗證涵蓋範圍，不能假定原版 SaaS 已落實。

在網頁或 README 的確切擷取文字進入摘要模型前，用經過校準的 G001 分類器檢查改寫指令與冒用帳號警示等內容。它不會解析 Markdown、解讀 QR Code、檢查 DOM 的可見性，也不會證明網址安全；文字擷取與偵測視圖需要另行實作並驗證。放行前，整合端須另行確認必要的分類類別完整，且分數為有效範圍內的有限數值。目前 G001 範例可能把空結果、缺少類別或 NaN 分數回報為 PASS／NO_FINDING；這些情況應視為錯誤並拒絕放行。這項結果檢查需要另外實作，不能當成公開範例已提供的能力。分類器仍可能漏判，因此工具與輸出須另設管制。

由沒有工具權限的隔離模型讀取原始網頁，再經中介程序把有限的觀察資料交給另一個高權限元件。網頁提供的連結與警示文字，通過驗證後仍須視為不可信；結構化摘要本身不能保證其中沒有攻擊指令。已公開的 G001 中介程序驗證的是 price-observation.v1，不能直接套用到本案。須另外實作適用的資料結構，並實測程序、憑證與網路隔離。通過結構驗證的字串仍可能含有惡意指令或錯誤觀察；高權限動作與畫面呈現出口須各自授權。