AI生成HTML隔离预览的逃逸风险与防护

安全工程师 ibobev 发布教程，演示如何为 AI 生成的 HTML 构建隔离预览。他先用 srcdoc 把模型生成的 HTML 渲染进无 sandbox 的 iframe，随后演示了三种逃逸方式：同源读取宿主页面的 session token、借 allow-top-navigation 等权限导航顶层窗口或弹窗，以及通过 fetch 和 Image 请求把数据外带。 ibobev 称，教程随后重建了预览方案，使经过测试的防护措施及其限制可见。报道未说明重建后的方案是否已能阻止上述三类逃逸。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。