KI Intelligence01.11.2026Praktischer Tipp
Artikel
Parameter Labs beschrieb eine Exploit-Kette gegen das HTML-Vorschau-/Artefakt-Muster von ChatGPT…
…bei der sandgeboxte iframes postMessage() nutzen könnten, um auf Code der übergeordneten Seite zuzugreifen, der innerHTML verwendete, was die Einfügung eines neuen iframes ohne Sandboxing-Einschränkungen ermöglichte.
KI-generiert: Die Zusammenfassungen schreibt eine KI auf Grundlage der verlinkten Quellen. So nutzen wir KI
KI-generiertQuelle: Simon Willison
01
Source Brief
Parameter Labs beschrieb eine Exploit-Kette gegen das HTML-Vorschau-/Artefakt-Muster von ChatGPT, bei der sandgeboxte iframes postMessage() nutzen könnten, um auf Code der übergeordneten Seite zuzugreifen, der innerHTML verwendete, was die Einfügung eines neuen iframes ohne Sandboxing-Einschränkungen ermöglichte.
02
Praktischer Tipp
Behandeln Sie postMessage()-Handler in der übergeordneten Seite als Angriffsfläche, wenn Sie Apps erstellen oder überprüfen, die unzuverlässiges HTML in sandgeboxten iframes rendern, und vermeiden Sie das Einfügen empfangener Inhalte über innerHTML.
03