ChatGPT HTML 미리보기 경유 계정 탈취 취약점

대상은 ChatGPT의 artifacts 패턴 구현으로, 이전에는 Canvas라고 불렸으며 최신 버전에서는 HTML previews라는 이름으로 보인다. 인터랙티브 HTML 앱을 샌드박스화된 iframe으로 표시하는 구조이므로, 신뢰할 수 없는 코드가 OpenAI의 API나 비공개 데이터에 접근하지 못하도록 엄격한 격리가 필요하다. 공격의 출발점은 그래프 기능에 쓰인 JavaScript 라이브러리 MathLive의 가상 키보드다. 샌드박스 내부 iframe에서 `postMessage()`로 상위 페이지의 처리를 호출할 수 있었고, 그 수신 코드가 `innerHTML`을 사용하고 있었다. 다른 프레임의 호출을 막는 장치가 없어, HTML 프리뷰 프레임에서도 상위 페이지에 HTML을 삽입할 수 있었다. `innerHTML`은 script 요소를 직접 실행하지는 않지만, 샌드박스 제한이 없는 새 iframe을 주입하는 데는 사용할 수 있었다.

Simon Willison 발췌