How We Took Over ChatGPT Accounts

我们如何接管ChatGPT账户

Simon Willison的博客

通讯

#smallhead

由以下公司赞助：

Greptile — 你的代码审查工具使用计算机使用功能通过打开你的应用并点击浏览来发现错误。现在你可以配置它的测试环境并定义它测试的关键用户流程。

免费试用

2026年10月31日 - 链接博客

Parameter Labs描述了他们发现的针对ChatGPT实现的artifacts模式（OpenAI过去称此为"Canvas"，但最新版本似乎称为HTML预览）的漏洞，该漏洞允许在沙盒化的iframe中显示交互式自定义HTML应用。

这些HTML内容必须严格保持沙盒化，以防止不受信任的代码与OpenAI API交互并访问私有数据。

Parameter发现了一个相当复杂的攻击链。OpenAI在其图表支持中使用了MathLive JavaScript库，而该库包含自己的虚拟键盘，可以通过来自沙盒iframe的postMessage()在父页面上触发。

接收该消息的代码使用innerHTML，因此任何发送消息的内容都可以向父页面添加自定义HTML，并且没有任何机制阻止其他沙盒框架（包括HTML预览框架）调用该方法。

这意味着iframe中的不受信任代码可以插入HTML，虽然innerHTML不会直接执行脚本元素，但可以用来注入没有沙盒限制的新iframe。

OpenAI的内容安全策略（CSP）规则完全阻止了内联脚本，并且仅允许从少数几个域加载脚本，但其中一个是YouTube - 而YouTube的oEmbed端点可以以执行JavaScript的方式反射JavaScript。

一旦攻击者在ChatGPT上获得JavaScript执行权限，就可以通过API获取私有用户数据，并通过图像引用将其泄露出去。

最终结果：你可以创建一个ChatGPT分享URL，当其他已登录用户访问该URL时，可以泄露他们的私有数据或代表他们执行操作。

OpenAI已经修复了这个漏洞，并支付了5000美元的漏洞赏金，我认为对于这样一个严重的漏洞来说，这个赏金有点低。

已发布

2026年10月31日

晚上11:15

最新文章

• 10月vibe游戏开发的转折点 - 2026年10月28日

• 战斗无人机 - 一个使用音频多人联机的vibe编码RTS - 2026年10月20日

• 你好Python 3.15，再见3.10，现在我可以使用3.11了 - 2026年10月12日

• 我的博客新功能，使用我的声音构建 - 2026年10月9日

#primary

这是Simon Willison于2026年10月31日发布的链接文章。

iframes

26

javascript

770

sandboxing

58

security

642

xss

61

openai

480

chatgpt

208

content-security-policy

15

月度简报

每月赞助10美元，获取本月最重要的LLM发展的精选电子邮件摘要。

支付我来发送更少的邮件！

赞助并订阅

.metabox

#secondary

#wrapper

• 披露

• 制作信息

• ©

• 2002

• 2003

• 2004

• 2005

• 2006

• 2007

• 2008

• 2009

• 2010

• 2011

• 2012

• 2013

• 2014

• 2015

• 2016

• 2017

• 2018

• 2019

• 2020

• 2021

• 2022

• 2023

• 2024

• 2025

• 2026