安全研究机构披露可接管 ChatGPT 账户的沙箱逃逸攻击链，OpenAI 已修复并支付赏金

研究机构披露ChatGPT沙箱逃逸攻击链可接管账户，OpenAI已修复并付赏金

据安全研究机构 Parameter Labs 于 10 月 31 日披露（经 Simon Willison 博客转述），其发现了一条针对 ChatGPT HTML 预览功能（OpenAI 此前称 Canvas）的沙箱逃逸攻击链，可实现 ChatGPT 账户接管。攻击链分多步：ChatGPT 图表功能使用的 MathLive 库自带虚拟键盘，可被沙箱 iframe 通过 postMessage 触发父页面行为，而父页面接收消息的代码使用 innerHTML 渲染且未阻止其他沙箱帧调用，攻击者由此可向父页面注入一个不受沙箱限制的新 iframe；面对 OpenAI 全面禁用内联脚本、仅允许少数域名加载脚本的内容安全策略（CSP），攻击者利用白名单中的 YouTube oEmbed 端点反射执行了 JavaScript。获得脚本执行能力后，攻击者即可调用 API 窃取用户私有数据并通过图片引用外传，最终效果是构造一个 ChatGPT 分享链接：其他已登录用户一旦访问，其私有数据即可被窃取或被冒用身份执行操作。据 Parameter Labs 称，OpenAI 已封堵该漏洞并支付 5,000 美元赏金，此为披露方单方说法，OpenAI 官方公开说明未见于材料，实际利用规模亦未经独立证实。

rss · Simon Willison 博客 · 10月31日 23:15

「为何重要」 这一披露表明大模型产品的沙箱化交互内容（artifacts 模式）已成为真实攻击面：一条精心构造的分享链接即可在其他登录用户访问时窃取其私有数据或冒用其身份操作，直接关系 ChatGPT 用户的账户与数据安全。据披露方称漏洞现已修复（单方说法，未经独立证实），后续值得关注的信号包括 OpenAI 是否发布官方说明、修复是否覆盖同类 postMessage 注入路径，以及其他采用类似沙箱预览机制的厂商是否排查自身实现。此外，Willison 认为 5,000 美元赏金相对该漏洞的严重性偏低，这是其个人评论而非客观标准。

「背景」 ChatGPT 的 HTML 预览功能用于在沙箱 iframe 中展示模型生成的交互式自定义 HTML 应用，属于业界所称的 artifacts 模式，OpenAI 此前将其命名为 Canvas；这类功能的安全前提是 HTML 必须被严格沙箱化，以防止不可信代码调用 OpenAI API 或读取用户私有数据。此次披露显示，该前提可被虚拟键盘触发、innerHTML 注入、CSP 白名单端点反射等多个环节组合绕过。

查看原文 ↗