ChatGPT HTML 프리뷰 취약점으로 계정 탈취 가능, Parameter Labs가 공격 기법 공개

대상은 ChatGPT의 artifacts 패턴 구현으로, 이전에는 Canvas라고 불렸으며 최신 버전에서는 HTML previews라는 이름으로 보인다. 인터랙티브 HTML 앱을 샌드박스화된 iframe으로 표시하는 구조이므로, 신뢰할 수 없는 코드가 OpenAI의 API나 비공개 데이터에 접근하지 못하도록 엄격한 격리가 필요하다.

공격의 출발점은 그래프 기능에 쓰인 JavaScript 라이브러리 MathLive의 가상 키보드다. 샌드박스 내부 iframe에서 `postMessage()`로 상위 페이지의 처리를 호출할 수 있었고, 그 수신 코드가 `innerHTML`을 사용하고 있었다. 다른 프레임의 호출을 막는 장치가 없어, HTML 프리뷰 프레임에서도 상위 페이지에 HTML을 삽입할 수 있었다. `innerHTML`은 script 요소를 직접 실행하지는 않지만, 샌드박스 제한이 없는 새 iframe을 주입하는 데는 사용할 수 있었다.