Parameter Labs 披露可接管 ChatGPT 账号的漏洞链
How We Took Over ChatGPT Accounts
AI 导读
Parameter Labs 披露了一条针对 ChatGPT 的漏洞利用链，可让攻击者构造分享链接，在其他已登录用户访问时窃取其私有数据或代其执行操作。
摘要与补充说明
攻击从 ChatGPT 的 HTML 预览沙箱 iframe 入手：OpenAI 用于图表支持的 MathLive 库自带虚拟键盘，父页面通过 postMessage() 接收消息的代码使用 innerHTML，且未阻止其他沙箱 frame 调用该方法，于是不可信代码可注入无沙箱限制的新 iframe。
正文· AI 翻译
2026年10月31日 - 链接博客
我们如何接管 ChatGPT 账户（via）Parameter Labs 描述了他们针对 ChatGPT 的 artifacts 模式实现（OpenAI 过去称之为“Canvas”，但最新版本似乎叫 HTML 预览）发现的一个漏洞利用，其中交互式自定义 HTML 应用会显示在沙盒化的 iframe 中。
这些 HTML 必须被严格沙盒化，以防止不受信任的代码与 OpenAI API 交互并访问私有数据，这一点很重要。
Parameter 发现了一条相当复杂的攻击链。OpenAI 使用 MathLive JavaScript 库作为其图形支持的一部分，而该库包含自己的虚拟键盘，可以通过沙盒化 iframe 中的 postMessage() 在父页面中触发它。
该消息接收代码使用了 innerHTML，因此任何发送消息的内容都可以向父页面添加自定义 HTML——而且没有任何机制阻止其他沙盒化 frame（包括 HTML 预览 frame）调用该方法。
这意味着 iframe 中的不受信任代码可以插入 HTML，而虽然 innerHTML 不会直接执行 script 元素，但它可以被用来注入一个没有沙盒限制的新 iframe。
OpenAI 的 CSP 规则完全阻止了内联脚本，并且只允许从少数几个域加载脚本，但其中之一是 YouTube——而 YouTube 的 oEmbed 端点可以被用来以某种方式反射回 JavaScript 并执行它。
一旦攻击在 ChatGPT 上获得 JavaScript 执行能力，从 API 获取私有用户数据并通过图片引用将其外泄就变得轻而易举。
最终结果是：你可以创建一个 ChatGPT 分享 URL，当另一个已登录用户访问它时，就可以外泄其私有数据或代表他们执行操作。
OpenAI 修补了这个漏洞并支付了 5,000 美元的漏洞赏金，我认为对于如此严重的漏洞来说，这有点便宜。