沙箱裡的「後門」：MathLive 的意外助攻
2026 年 10 月 31 日，知名開發者 Simon Willison 在其部落格披露了一項針對 ChatGPT 的嚴重安全漏洞。根據 Parameter Labs 的分析，OpenAI 在 ChatGPT 的「Artifacts」功能（即 HTML 預覽沙箱）中存在一個複雜的攻擊鏈。問題源於 OpenAI 使用的 MathLive JavaScript 庫，該庫為了支援圖表渲染，內建了一個虛擬鍵盤功能。這個功能允許父頁面透過 `postMessage()` 接收來自沙箱 iframe 的訊息，但接收訊息的代碼使用了 `innerHTML` 來處理輸入。這意味著，任何能發送訊息的沙箱代碼，都可以向父頁面注入自定義 HTML，而系統缺乏機制來阻止其他沙箱框架（包括不受信的 HTML 預覽框架）調用此方法。
從 YouTube 到執行權：繞過 CSP 的巧妙路徑
一旦攻擊者能在父頁面注入 HTML，雖然 `innerHTML` 不會直接執行 `<script>` 標籤，但它可以插入一個沒有沙箱限制的新 iframe。OpenAI 的內容安全策略（CSP）原本禁止內聯腳本，並限制腳本只能從少數特定域名加載，其中一個被允許的域名是 YouTube。Parameter Labs 發現，YouTube 的 oEmbed 端點可以被利用，將 JavaScript 反射回來並執行。這一步驟是整個攻擊鏈的關鍵轉折點：它將原本被隔離的不可信代碼，變成了擁有完整 JavaScript 執行權的惡意腳本。
數據外洩與帳戶劫持：5000 美元的代價
獲得 JavaScript 執行權後，攻擊變得輕而易舉。惡意代碼可以調用 OpenAI 的 API，獲取用戶的私人數據，並透過圖片引用（image reference）將數據外洩到攻擊者控制的伺服器。更嚴重的是，攻擊者可以創建一個 ChatGPT 分享連結，當其他已登入的用戶訪問該連結時，其帳戶會被劫持，私人數據被竊取，甚至可能以用戶名義執行操作。OpenAI 在發現漏洞後迅速修復，並向 Parameter Labs 支付了 5000 美元的漏洞賞金。Simon Willison 在文中直言，對於如此嚴重的漏洞，5000 美元的補償顯得過於廉價。
技術細節背後的系統性風險
這個漏洞的核心不在於單一組件，而在於組件間的交互邏輯。OpenAI 將 MathLive 庫的虛擬鍵盤功能暴露在父頁面的訊息接收層，且未對來源進行嚴格驗證。這反映了一個常見的安全盲點：開發者往往關注單個組件的安全性（如沙箱隔離），卻忽視了組件間通訊協議（如 postMessage）的潛在風險。MathLive 庫本身並非惡意，但其設計假設了安全的上下文，而在 ChatGPT 的複雜環境中，這個假設被打破了。YouTube oEmbed 的利用則顯示，即使 CSP 規則嚴格，只要允許的外部域名存在可預測的反射行為，攻擊者就能找到繞過路徑。
白領與創業主的隱憂
對於依賴 ChatGPT 進行日常工作的白領與創業主而言，這個漏洞意味著「信任」的邊界被模糊了。許多用戶習慣在 ChatGPT 中輸入商業機密、客戶數據或個人隱私信息，認為沙箱機制足以保護這些數據。然而，Parameter Labs 的發現表明，只要攻擊者能構造特定的分享連結，用戶在不知情的情况下就可能在訪問連結時洩露數據。這不僅是技術問題，更是產品設計與用戶教育之間的落差。OpenAI 的 5000 美元賞金，在市場價值上遠低於潛在的數據洩漏損失，這可能向其他安全研究者傳遞了一個錯誤信號：報告嚴重漏洞的經濟回報有限。
魔法報紙怎麼看
5000 美元是廉價的風險轉嫁
我認為 OpenAI 支付 5000 美元賞金，並非因為漏洞價值僅此，而是因為他們將「安全」視為一種可外包的成本，而非產品核心。在 AI 應用日益深入商業流程的今天，帳戶劫持與數據外洩的代價遠超數千美元。OpenAI 用最低限度的補償，換取了漏洞的修復，卻未對用戶可能遭受的損失負責。這種做法在短期內節省了開銷，長期卻侵蝕了用戶對平台安全性的信任。對於白領讀者而言，這意味著你無法完全依賴平台的「沙箱」承諾，必須自行建立數據分級與訪問控制機制。
反方觀點：沙箱並非萬能，但需更嚴格的邊界
持平地說，沙箱機制本身是必要的，它確實阻止了大量直接的惡意代碼執行。問題不在於沙箱的存在，而在於沙箱與父頁面之間的通訊協議缺乏嚴格的身份驗證與數據過濾。OpenAI 的錯誤在於過度信任 MathLive 庫的內部實現，未對 postMessage 的來源與內容進行白名單驗證。YouTube oEmbed 的利用更是暴露了 CSP 規則的僵化：允許外部域名加載腳本，卻未考慮這些域名可能被用於反射攻擊。這並非沙箱的失敗，而是安全架構的疏漏。
該盯的訊號：賞金制度與漏洞披露透明度
接下來該盯的具體訊號是 OpenAI 是否會調整其漏洞賞金制度，以及是否會公開更詳細的漏洞披露報告。如果 OpenAI 維持現有的低額賞金，且對漏洞細節保持模糊，這將向整個安全研究社區發送錯誤信號：報告嚴重漏洞的風險遠大於回報。反之，如果 OpenAI 提高賞金並公開技術細節，這將成為 AI 平台安全治理的正面範例。對於台灣讀者而言，這也提醒我們，在使用任何 AI 服務時，應避免在共享環境中輸入敏感數據，並定期檢查帳戶活動日誌，以應對潛在的帳戶劫持風險。
安全不是沙箱的牆，而是通訊的鎖。
以上為魔法報紙編輯部觀點,不代表原報導立場。