沙箱 iframe 逃逸链：黑客攻陷 ChatGPT 账号窃取私聊数据，OpenAI 赏金仅 5000 美元
Simon Willison · rss · 2026-11-01
Simon Willison 介绍了 Parameter Labs 披露的一组针对 ChatGPT「HTML 预览」（早期称 Canvas/artifacts）功能的复杂攻击链，最终可实现跨用户数据窃取与账号接管，OpenAI 已修复并支付 5000 美元漏洞赏金。
攻击链关键环节：
- ChatGPT 在沙箱 iframe 中渲染用户生成的交互式 HTML 应用，本应严格隔离以防不可信代码访问 OpenAI API 与私有数据。
- OpenAI 图表功能使用的 MathLive JS 库自带虚拟键盘，父页面通过 postMessage() 接收消息；该处理代码使用 innerHTML，且没有机制阻止沙箱内的 HTML 预览 iframe 调用它。
- 于是不可信代码可向父页面注入 HTML：虽然 innerHTML 不执行 <script>，但可注入一个无沙箱限制的新 iframe。
- OpenAI 的 CSP 完全禁止内联脚本、只允许少数域名加载脚本，但其中包含 YouTube——攻击者利用 YouTube oEmbed 端点反射执行 JavaScript。
- 拿到 ChatGPT 页面 JS 执行权后，即可调用 API 抓取用户私有数据，并通过图片引用外传。
- 最终效果：构造一个 ChatGPT 分享链接，其他已登录用户访问后，其私有数据即被窃取或以其身份执行操作。
Willison 认为对于如此严重的漏洞，5000 美元赏金偏低。
「模型」频道最新
- 分析师复盘 OpenAI/Anthropic 编码之战:Opus 5.5 助 Anthropic 收入反弹 — firstadopter · 2026-11-01
- 实测 DeepSeek V4.1 Flash 经 Baseten 跑出约 1038 tok/s 生成速度 — gajesh · 2026-11-01
- 同一张万圣节告示 Gemini 与 Claude 一次性生成，你猜哪张出自谁 — tristanbob · 2026-11-01
- Claude 因「性保守」拒答被吐槽,banteg 调侃其「深度失对齐」 — banteg · 2026-11-01
- 字节级比对实锤：传泄露的 DeepSeek V4.1 权重被判为伪造 — teortaxesTex · 2026-11-01
- 跨模态 ML 技术有无底层通用模式?Reddit 发起分类法讨论 — OkCampaign8400 · 2026-11-01