ChatGPTのプレビューから非公開データ窃取の恐れ

脆弱性はアーティファクトの仕組みにある。OpenAIがかつてCanvasと呼び、今はHTMLプレビューとして提供する機能で、インタラクティブなカスタムHTMLアプリがサンドボックス化されたiframe内で動作する。このHTMLを厳格にサンドボックス化することで、信頼できないコードがOpenAIのAPIや非公開データに到達するのを防ぐ狙いがある。Parameter Labsの連鎖は、支援ライブラリがその境界を広げうることを示す。グラフ表示に使われるMathLiveには、親ページがpostMessage()で待ち受ける仮想キーボードが含まれ、受信側コードはinnerHTMLを使い、プレビューフレームを含む他のサンドボックス化フレームからの呼び出しを防いでいなかった。

そこから攻撃はOpenAIのCSPルールを回避した。このルールはインラインスクリプトをブロックし、スクリプトの読み込みを一握りのドメインに限っていたが、その一つがYouTubeだった。YouTubeのoEmbedエンドポイントは、実行される形でJavaScriptを反映できた。JavaScriptが実行されれば、APIからユーザーの非公開データを取得し、画像参照経由で窃取するのは容易だったと報告書は述べている。

実際の結果は、別のサインイン中ユーザーに対して作用しうる共有URLだった。OpenAIは穴を塞ぎ、5,000ドルのバグバウンティを支払った。Simon Willisonはこれをこれほど深刻な脆弱性にしては安すぎると評したが、それは彼の意見であり、OpenAIの公式方針ではない。