Parameter Labs 披露可接管 ChatGPT 账号的漏洞链
How We Took Over ChatGPT Accounts
Parameter Labs 披露了一条针对 ChatGPT HTML 预览（原 Canvas）沙箱的漏洞链，攻击者可借此窃取已登录用户的私有数据或代其执行操作。
这条漏洞链展示了沙箱、CSP 与第三方脚本白名单如何被逐层绕过，对做 iframe 隔离的开发者有参考价值。
2026年10月31日 - 链接博客
我们如何接管 ChatGPT 账户（via）Parameter Labs 描述了他们针对 ChatGPT 的 artifacts 模式实现发现的漏洞利用（OpenAI 过去称之为“Canvas”，但最新版本似乎叫 HTML 预览），其中交互式自定义 HTML 应用显示在沙箱化的 iframe 中。
这些 HTML 必须被严格沙箱化，以避免不受信任的代码与 OpenAI API 交互并访问私有数据。
Parameter 发现了一条相当复杂的攻击链。OpenAI 使用 MathLive JavaScript 库作为其图表支持的一部分，而该库包含自己的虚拟键盘，可以通过 postMessage() 从沙箱化的 iframe 在父页面中触发。
该消息接收代码使用 innerHTML，因此任何发送消息的内容都可以向父页面添加自定义 HTML——而且没有任何机制阻止其他沙箱化框架（包括 HTML 预览框架）调用该方法。
这意味着 iframe 中的不受信任代码可以插入 HTML，而虽然 innerHTML 不会直接执行 script 元素，但它可以被用来注入一个没有沙箱限制的新 iframe。
OpenAI 的 CSP 规则完全阻止了内联脚本，并且只允许从少数几个域加载脚本，但其中之一是 YouTube——而 YouTube oEmbed 端点可以被用来以可执行的方式反射回 JavaScript。
一旦攻击在 ChatGPT 上获得 JavaScript 执行权限，从 API 获取私有用户数据并通过图片引用外泄就变得轻而易举。
最终结果是：你可以创建一个 ChatGPT 分享 URL，当另一个已登录用户访问它时，就可以外泄其私有数据或代表其执行操作。
OpenAI 修补了该漏洞并支付了 5,000 美元的漏洞赏金，我认为对于如此严重的漏洞来说这有点便宜。
来源：Simon Willison · simonwillison.net