AI小生意项目库 · 阅读档案

2026-11-01 1 浏览免费阅读

我们如何接管 ChatGPT 账户

Q: 这篇文章和哪些AI专题相关？

它适合放在AI副业专题里阅读。 关联原因：这篇内容命中「项目、小生意、变现」等主题信号。

Parameter Labs 披露针对 ChatGPT HTML 预览沙箱的复杂攻击链：从沙箱 iframe 经 MathLive 虚拟键盘的 postMessage 与 innerHTML 注入新 iframe，再借 YouTube oEmbed 绕过 CSP 执行 JavaScript，最终可读取并外传已登录用户私密数据或代其操作；OpenAI 已修复并支付 5,000 美元赏金。

AI小生意项目库约 4 分钟读完免费阅读原文 2026-11-01 07:15:22

原贴

查看原文

作者：Simon Willison 来源站点：simonwillison.net 原贴时间： 2026-11-01 07:15:22

原文

How We Took Over ChatGPT Accounts Parameter Labs describe an exploit they found against ChatGPT's implementation of the artifacts pattern (OpenAI used to call this "Canvas" but it looks like the latest revision is called HTML previews ), where interactive custom HTML apps are displayed in a sandboxed iframe. It's important that HTML in these stays tightly sandboxed to avoid untrusted code interacting with OpenAI APIs and accessing private data. Parameter found quite a complex attack chain. OpenAI use the MathLive JavaScript library as part of their graph support, and that library includes its own virtual keyboard , which can be triggered in the parent page via postMessage() from the sandboxed iframe. That message receiving code uses innerHTML , so anything that sends a message can add custom HTML to the parent - and there was no mechanism to prevent other sandboxed frames, including HTML preview frames, from calling that method. This meant untrusted code in an iframe could insert HTML, and while innerHTML doesn't directly execute script elements it could be used to inject a new iframe without sandbox restrictions. OpenAI’s CSP rules blocked inline scripts entirely, and only allowed script loading from a handful of domains, but one of those was YouTube - and the YouTube oEmbed endpoint could be used to reflect JavaScript back in a way that executed it. Once the attack had JavaScript execution on ChatGPT, it was trivial to fetch private user data from APIs and exfiltrate it via an image reference. The end result: you could create a ChatGPT share URL which, when visited by another signed-in user, could exfiltrate their private data or take actions on their behalf. OpenAI closed the hole and paid out a $5,000 bug bounty, which I think was a bit cheap for a vulnerability this serious. Via Hacker News Tags: iframes , javascript , sandboxing , security , xss , openai , chatgpt , content-security-policy

中文翻译

Parameter Labs 描述了他们针对 ChatGPT 对 artifacts 模式的实现发现的一个漏洞利用（OpenAI 过去称其为“Canvas”，但看起来最新版本称为 HTML previews），其中交互式自定义 HTML 应用显示在沙箱化的 iframe 中。重要的是，这些 iframe 中的 HTML 必须保持严格的沙箱化，以避免不受信任的代码与 OpenAI API 交互并访问私人数据。Parameter 发现了一条相当复杂的攻击链。OpenAI 使用 MathLive JavaScript 库作为其图表支持的一部分，而该库包含自己的虚拟键盘，可通过来自沙箱化 iframe 的 postMessage() 在父页面中触发。接收该消息的代码使用了 innerHTML，因此任何发送消息的内容都可以向父页面添加自定义 HTML——而且没有机制阻止其他沙箱化框架（包括 HTML 预览框架）调用该方法。这意味着 iframe 中的不受信任代码可以插入 HTML，而虽然 innerHTML 不会直接执行 script 元素，但它可被用来注入一个没有沙箱限制的新 iframe。OpenAI 的 CSP 规则完全阻止内联脚本，并且只允许从少数域名加载脚本，但其中之一是 YouTube——而 YouTube oEmbed 端点可被用来以可执行的方式反射回 JavaScript。一旦攻击在 ChatGPT 上获得 JavaScript 执行权限，从 API 获取私人用户数据并通过图片引用外传就变得很简单。最终结果是：你可以创建一个 ChatGPT 分享 URL，当另一名已登录用户访问时，可以外传其私人数据或代表其采取行动。OpenAI 关闭了该漏洞并支付了 5,000 美元漏洞赏金，我认为对于如此严重的漏洞来说这有点便宜。

核心信息

Parameter Labs 披露针对 ChatGPT HTML 预览沙箱的复杂攻击链：从沙箱 iframe 经 MathLive 虚拟键盘的 postMessage 与 innerHTML 注入新 iframe，再借 YouTube oEmbed 绕过 CSP 执行 JavaScript，最终可读取并外传已登录用户私密数据或代其操作；OpenAI 已修复并支付 5,000 美元赏金。

Parameter Labs 披露针对 ChatGPT HTML 预览沙箱的复杂攻击链：从沙箱 iframe 经 MathLive 虚拟键盘的 postMessage 与 innerHTML 注入新 iframe，再借 YouTube oEmbed 绕过 CSP 执行 JavaScript，最终可读取并外传已登录用户私密数据或代其操作；OpenAI 已修复并支付 5,000 美元赏金。
原贴提到：How We Took Over ChatGPT Accounts Parameter Labs describe an exploit the
来源：simonwillison.net

详细解读

这是什么信号

这不是普通的 ChatGPT 功能更新，而是一份公开的漏洞利用复盘：AI 产品里的 HTML 预览/artifact 沙箱已经变成需要按“可执行内容平台”对待的攻击面。攻击链把 postMessage、innerHTML、iframe sandbox 和 CSP 白名单几个常见前端机制串起来，说明单点小问题叠起来足以走到账户级风险。

为什么重要

ChatGPT 账户里通常有私密对话、文件和数据，部分账户还关联操作能力。原文给出的最终效果是：构造一个分享 URL，已登录用户访问后可能被外传私人数据或代其执行操作。这会把“点开分享链接”从内容消费动作变成安全边界问题；同时说明 CSP 和域名白名单不是绝对保险，允许列表里可反射 JavaScript 的第三方端点会成为绕过点。

对谁有价值

最直接的是做 AI 产品前端、沙箱、插件、富交互预览和分享页面的团队；其次是企业安全负责人、漏洞赏金研究者和需要评估 AI 工具风险的组织。普通用户也能从中理解：AI 应用越能渲染和运行自定义内容，账户权限与分享链接的风险就越高。

可以怎么行动

产品团队应审计 postMessage 的消息来源、targetOrigin 和消息类型，避免把消息内容直接送进 innerHTML；对 iframe 使用严格 sandbox 与权限最小化；CSP 白名单不要只看域名可信度，还要评估该域名是否存在可反射脚本的端点；分享页面应默认最小权限并限制敏感 API；安全团队可把这条攻击链做成红队用例和代码审查清单。OpenAI 已修复并支付 5,000 美元赏金，同类平台不宜只依赖单点修复，应做同类模式排查。

风险或限制

这是已关闭的历史漏洞，不能据此推断当前 ChatGPT 仍可被同样方式接管。不同平台的 artifact、iframe、CSP 和第三方库实现差异很大，不能简单套用。过度收紧沙箱和白名单可能损害功能；真正难点是把安全边界做成持续审计机制，而不是一次性补丁。

信息差价值

这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 simonwillison.net 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。

如果把《我们如何接管 ChatGPT 账户》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。

参考来源

Simon Willison 原帖

TOPIC HUBS

延伸专题

AI副业 AI副业：小生意、项目机会与可收费交付

这篇内容命中「项目、小生意、变现」等主题信号。

AI SUMMARY

这篇文章回答了什么