· 2 分钟阅读
Simon Willison 日报 2026-10-31：ChatGPT 账号接管链与 datasette-llm 默认识别模型
Parameter Labs 披露针对 ChatGPT HTML 预览沙箱的复杂攻击链（MathLive postMessage → innerHTML → 非沙箱 iframe → YouTube oEmbed），可借分享链接窃取登录用户数据；OpenAI 已修补并支付 5000 美元赏金。另 datasette-llm 0.1a9 可自动沿用 LLM 默认模型。
我们如何接管 ChatGPT 账号
原标题： How We Took Over ChatGPT Accounts
原文： https://simonwillison.net/2026/Oct/31/how-we-took-over-chatgpt-accounts/
来源： Parameter Labs（via）
Parameter Labs 描述了他们发现的、针对 ChatGPT「artifacts」模式实现的漏洞。OpenAI 以前把这类能力叫 Canvas，现在最新改版看起来叫 HTML previews：交互式自定义 HTML 应用会在沙箱 iframe 里展示。
这类 HTML 必须严格沙箱化，否则不可信代码就能碰 OpenAI API、读到私有数据。
Parameter 找到的攻击链相当复杂：
- OpenAI 在图表相关功能里用了 MathLive JavaScript 库；该库自带虚拟键盘，可通过沙箱 iframe 里的
postMessage()触发父页面上的处理逻辑。 - 父页面接收消息的代码用了
innerHTML，因此任何能发消息的一方都能往父页面塞自定义 HTML；当时也没有机制阻止其他沙箱帧（包括 HTML preview 帧）调用该方法。 - 于是不可信 iframe 里的代码可以插入 HTML。
innerHTML不会直接执行<script>，但可以用来注入一个没有沙箱限制的新 iframe。 - OpenAI 的 CSP 完全禁止内联脚本，只允许从少数域名加载脚本；其中之一是 YouTube。YouTube 的 oEmbed 端点可被用来反射回可执行的 JavaScript。
- 一旦在 ChatGPT 页面上拿到 JS 执行能力，就能从 API 拉私有用户数据，再通过图片引用外泄。
最终效果：攻击者可以做一个 ChatGPT 分享链接；另一个已登录用户一点开，就可能被窃取私有数据，或在其账号上代为操作。
OpenAI 已封堵该漏洞，并支付了 5000 美元漏洞赏金。Simon 认为，以漏洞严重程度来看，这笔赏金偏便宜。
（Simon 于 2026 年 10 月 31 日约晚上 11:15 发布的链接博文。）
发布 datasette-llm 0.1a9
原标题： Release datasette-llm 0.1a9
原文： https://simonwillison.net/2026/Oct/31/datasette-llm/
标签： llm、datasette、datasette-agent
Simon 说 Datasette Agent 还有一批大升级在路上；眼下先给底层插件 datasette-llm 做了一个小的体验改进。
插件现在会自动沿用 LLM 已配置的默认模型，因此启动 Datasette Agent 时不必再显式配置默认模型：
uvx --with datasette-agent datasette content.db --internal internal.db以前还要额外指定，例如：
-s plugins.datasette-agent.default_model gpt-6-astra（Simon 于 2026 年 10 月 31 日约晚上 10:10 发布。）