Hacker News：AI 热帖·· 6 天前精选AI 评分79
Parameter 安全研究：公开 ChatGPT 分享链接可在受害者登录会话中执行任意代码
We Took over ChatGPT Accounts
AI 导读
Parameter 团队披露一种针对 ChatGPT 的 XSS 攻击链：攻击者发布含交互图表和 HTML Preview 的公开分享对话，借助 MathLive 键盘布局消息未验证来源、innerHTML 注入无沙箱 iframe、YouTube oEmbed JSONP 绕过 CSP，使 JavaScript 以 chatgpt.com 身份在受害者登录会话中运行。
推荐理由
作者第一手复现完整攻击链并给出时间线与修复过程，读者可以借此理解沙箱隔离为何会在跨组件组合下失效。
来源：Hacker News：AI 热帖 · parameter.ai