Simon Willison·· 2 天前精选AI 评分76
Parameter Labs 详解如何利用 HTML 预览漏洞接管 ChatGPT 账户
How We Took Over ChatGPT Accounts
AI 导读
Parameter Labs 披露了针对 ChatGPT HTML 预览功能的完整攻击链，攻击者可通过恶意分享链接窃取登录用户的私有数据甚至接管账户。该攻击利用 MathLive 库的 postMessage 通信机制突破 iframe 沙箱限制注入 HTML，再借助 YouTube oEmbed 绕过 CSP 策略执行 JavaScript 并调用 API 导出数据。
推荐理由
原文拆解了结合沙箱 iframe、postMessage 与 CSP 绕过的完整攻击链，读者可据此排查前端交互沙箱接入第三方库时的安全隐患。
来源：Simon Willison · simonwillison.net