AI 日报 · 2026-11-01

今天两条都落在 AI 安全的边界问题上：一条是 ChatGPT 的 HTML 预览沙箱被绕过，攻击者利用 MathLive 虚拟键盘的 postMessage 与 innerHTML 注入，再借 YouTube oEmbed 端点反射执行 JavaScript，最终可能读取访问者私有数据，OpenAI 已修复并支付 5000 美元赏金。另一条是 Latent Space 访谈财富管理公司 Arca，其金融 agent 任务周期最长可达十天，需要持久化记忆、多模型调度和严格的人类执行资金操作边界。两者共同指向一个趋势：agent 与生成式 UI 在提升能力的同时，也在扩大攻击面，隔离、权限与护栏必须与功能同步设计。

衍生 & 周边（产品 / Agent / Tools / 观点）

其他

⭐⭐ [其他] How We Took Over ChatGPT Accounts

Simon Willison 的链接博客转述了 Parameter Labs 发现的一条针对 ChatGPT HTML 预览（artifacts，旧称 Canvas）沙箱的攻击链。Parameter Labs 发现，OpenAI 用于图表支持的 MathLive JavaScript 库自带虚拟键盘，因此沙箱 iframe 可以通过 postMessage() 在父页面触发它；而接收该消息的代码使用了 innerHTML，所以任何能发消息的框架（包括 HTML 预览框架）都可以向父页面注入自定义 HTML。注入的 HTML 可以新建一个不受沙箱限制的 iframe，而 OpenAI 的 CSP 虽然禁止内联脚本、只允许少数域加载脚本，但其中的 YouTube oEmbed 端点可被用来反射并执行 JavaScript。攻击者一旦能在 ChatGPT 上执行 JavaScript，就能读取 API 中的私有用户数据并通过图片引用外传，从而做出一个共享 URL，任何已登录用户访问时，其私有数据都可能被外泄，或代表该用户执行操作。OpenAI 已修复该漏洞并支付 5000 美元赏金。

⭐⭐ [其他] Agents Prompt People: Using Agents for Long-Horizon Financial Work

Latent Space 在 AI Engineer New York 上访谈了 AI 原生财富管理公司 Arca 的 AI 工程负责人 Aman Singh。Arca 近期完成 4850 万美元融资，由 General Catalyst 领投，Index Ventures 与 Venrock 参与。Singh 表示，金融场景的 agent 任务属于「长周期但并非长时间连续运行」，单个任务最长可达十天，过程中有大量停顿、交接与决策点，因此 Arca 自建了按客户持久化的记忆系统，记录已发生的事、后续跟进项、近期待办以及每项动作的负责人。Arca 使用 Anthropic、OpenAI 等前沿实验室的模型（Claude 为主要供应商），并自研 harness 依据内部评测自动为任务挑选模型，同时保留更换模型供应商的灵活性。安全方面，agent 只负责分析与提出方案，交易及任何资金移动由人类顾问执行，所有安全限制都是确定性的并会进行提示注入等已知 AI 安全问题的校验；沙箱中的代码会被转换为严格格式，原代码被丢弃，并在到达后端前对该格式施加护栏。此外，Arca 用一个「meta-agent」分析人类顾问的反馈与 agent 的运行轨迹，进而提出对 harness 的改进建议。