Parameter Labs 披露 ChatGPT 账户接管攻击链：从 HTML 预览沙箱逃逸到数据外泄

安全研究团队 Parameter Labs 公开了发现 ChatGPT 账户接管漏洞的完整攻击链，Simon Willison 在 10 月 31 日的博文中做了转述。链条的起点是 ChatGPT 的 HTML 预览功能：预览 iframe 中运行的代码本身被当作不可信内容处理，但它可以通过 postMessage 向页面其它部分发送消息。

研究团队发现，MathLive 数学输入键盘在处理这类消息时会把内容写进 innerHTML，形成注入点；而要把注入的内容变成可执行脚本，还得绕过内容安全策略（CSP）。他们利用了一个被 CSP 允许的 YouTube oEmbed 端点做反射，让页面加载攻击者可控的 JavaScript，最终可以读取登录用户的私有数据、或代替用户执行操作。OpenAI 在修复该漏洞后按漏洞赏金计划支付了 5000 美元。

这条链本身没有新发明——iframe 的信任边界、第三方组件的 innerHTML、被白名单放过的反射端点，三段都是老问题；但把它们拼在 AI 助手的登录会话上，收益面就变了。当私有对话、已连接的文档和可代发的操作都落在同一个登录态里，聊天界面的每一次富文本渲染都成了攻击面，这类产品需要把「预览即沙箱」当成设计约束，而不是事后修补。