ChatGPTのHTMLプレビューの脆弱性でアカウント乗っ取りが可能に、Parameter Labsが攻撃手法を公開

対象はChatGPTのartifactsパターンの実装で、以前はCanvasと呼ばれ、最新版ではHTML previewsという名称のようだ。インタラクティブなHTMLアプリをサンドボックス化したiframeで表示する仕組みであり、信頼できないコードがOpenAIのAPIや非公開データに触れないよう厳密な隔離が求められる。

攻撃の起点は、グラフ機能に使われているJavaScriptライブラリMathLiveの仮想キーボードである。サンドボックス内のiframeから`postMessage()`で親ページ側の処理を呼べ、その受信コードが`innerHTML`を使っていた。他のフレームからの呼び出しを防ぐ仕組みがなく、HTML previewのフレームからでも親ページにHTMLを挿入できた。`innerHTML`はscript要素を直接実行しないが、サンドボックス制限のない新しいiframeを注入する用途には使えた。