Simon Willison·· 7 小时前精选AI 评分79
Parameter Labs 揭示可接管 ChatGPT 账号并窃取用户数据的攻击链
How We Took Over ChatGPT Accounts
AI 导读
Parameter Labs 发现，ChatGPT 的 HTML previews 存在一条攻击链，可让恶意 iframe 获取 JavaScript 执行能力，并窃取已登录用户的私密数据或代其采取行动。
推荐理由
这起攻击链展示了沙箱 iframe、父页面消息处理与 CSP 配置之间如何形成组合风险，也交代了漏洞修复和赏金结果。
来源：Simon Willison · simonwillison.net