OpenAI 官方技能寫錯網域　正式環境 App 交出 token

OpenAI 官方技能把 Render 私有網絡寫成無人註冊的網域

據 CSO Online 10 月 16 日報道，資安公司 AIR Security 的研究團隊發現，OpenAI 一個教 AI 代理在雲端平台 Render 部署應用程式的官方技能（skill，即寫給 AI 代理讀的操作說明），把 Render 的私有網絡寫成 `render-internal.com`，而這個網域當時並未被任何人註冊。

技能是一組 Markdown 文件，代理在執行任務前讀取，照當中的步驟寫程式和設定服務。OpenAI 在 GitHub 公開的 `openai/skills` 儲存庫中，`render-deploy` 技能的參考文件寫明私有 DNS 格式是 `[service-name].render-internal.com`，示範程式碼把內部服務位址設為 `http://internal-api.render-internal.com:10000`，最佳做法一節更寫「一律使用 `.render-internal.com` 網域」，以及「毋須驗證，已在帳戶內隔離」。

研究員註冊網域後收到正式環境應用程式的 token

據 CSO Online 報道，AIR Security 研究實驗室註冊了這個網域，把它指向一台只收不發的被動伺服器（sinkhole），隨即開始收到來自真實正式環境應用程式的 token 和 API 請求。研究員用 OpenAI 的編程代理 Codex 測試這個技能，確認網域會以預設值的身分寫進實際的應用程式碼。

換言之，任何人只要搶先註冊這個網域，就能接收照技能部署的應用程式送出的憑證。AIR Security 共同創辦人兼技術總監 Niv Hoffman 表示：「技能應該像軟件供應鏈的其他部分一樣，受到審查和監察。」

Render 已修正，OpenAI 的副本仍保留錯誤網域

據 CSO Online 報道，AIR Security 通知 OpenAI 和 Render 後，問題在 8 月中解決：Render 從自己的技能刪除所有 `render-internal.com`，OpenAI 則把 Render 插件從 `openai/plugins` 儲存庫移除，網域亦已轉交 Render 保管。

不過，截至 10 月 17 日，`openai/skills` 儲存庫的 `render-deploy` 技能仍有兩份參考文件多處寫着這個網域；其中 `service-types.md` 最後一次修改是 2026 年 1 月 31 日加入技能時。GitHub 上多個第三方技能合集亦複製了同一段文字。由於網域已在 Render 手上，這些副本暫時不會把憑證送到外人手中，但照着寫的應用程式仍會連往錯誤位址。

AI 虛構網域是已知的攻擊面

這類攻擊被稱為「幻影搶註」（phantom squatting）：大型語言模型替真實機構虛構出看似官方、實際未註冊的網域，攻擊者搶先註冊，等用戶或 AI 代理上門。據雲端安全聯盟 7 月 2 日發表的研究筆記引述 Palo Alto Networks 旗下 Unit 42 的數據，約 25 萬個由 AI 虛構的網域仍未被註冊，任何人都可即時登記。

來源

• Hallucinated domain in official OpenAI skill underscores AI supply chain risks（CSO Online）
• render-deploy/references/service-types.md（原始文件，OpenAI 技能儲存庫）
• Phantom Squatting: AI Hallucinated Domains as Phishing Infrastructure（雲端安全聯盟，背景研究）