Simon Willison 分析 ChatGPT 沙箱漏洞如何导致账户接管与数据泄露

Simon Willison 指出 Parameter Labs 发现了一个针对 ChatGPT 中 HTML 预览（原 Canvas）功能的复杂攻击链，该漏洞允许未授权代码在沙箱内执行并窃取用户私有数据。攻击者利用 MathLive 库的虚拟键盘通过 postMessage() 触发父页面的 innerHTML 注入，进而创建无沙箱限制的 iframe，最终结合 YouTube oEmbed 端点反射 JavaScript 实现代码执行，完成数据外泄或代操作。

关键事实在于 OpenAI 的 CSP 规则虽然禁止了内联脚本，但允许从包括 YouTube 在内的少数域加载脚本，这成为了攻击跳板。漏洞修复后 OpenAI 支付了 5,000 美元的赏金，作者认为对于此类严重的安全风险，该金额偏低。这一事件暴露了当第三方库（如 MathLive）与沙箱机制交互时，若缺乏严格的消息验证和上下文隔离，极易引发跨帧攻击。

推断显示，当前大模型应用中的“可执行内容”功能（如代码解释器、HTML 渲染）是高风险区域，单纯依赖 CSP 不足以防御复杂的组合攻击。猜测未来类似功能可能需要引入更严格的同源策略检查或限制特定域名的脚本加载能力，以防止此类利用合法资源进行恶意执行的场景。