Parameter Labs 报告称，ChatGPT HTML 预览功能存在漏洞，可能泄露已登录用户的私人数据，或允许攻击者代其操作。OpenAI 已修复该问题，并支付了 5,000 美元漏洞赏金。
研究人员描述的攻击链涉及沙盒 iframe 向父页面插入 HTML，再利用获准访问的 YouTube 端点执行 JavaScript。攻击者可通过特制的分享链接针对已登录用户，窃取其数据或代其操作。
该发现归于 Parameter Labs；来源没有说明此结果经过独立验证。OpenAI 已修复漏洞。来源作者认为，考虑到漏洞的严重性，5,000 美元赏金偏低。
此案例说明，必须结合评估 iframe 沙盒和内容安全策略，也提醒人们分享链接可能带来账户安全风险。
作为假设性的安全审查练习，梳理用户可控的 iframe 如何向父页面发送消息，并检查这些消息是否经过安全验证。
一起读懂这篇文章。你可以问它意味着什么、为何重要，或如何应用这个想法。
结合你的工作和兴趣，为你解释。
先介绍一下自己，让解释更适合你。
这条进展对你有什么影响？分享实例，或向其他读者提问。
登录后参与讨论开源模型 Bark 能根据单条文本提示生成语音、音乐、笑声和音效。来源称它支持 13 种语言和 100 多种预设音色，但它可能改动文本或加入意外声音。 Bark 每次可生成约 13–14 秒的音频，并采用 MIT 许可证发布。来源称完整模型需要约 12 GB GPU 显存，也提供可在较低显存环境下运行的小型版本。
这条内容对你有用吗？
AutoTrust Labs发布了JEV-27B v1.1，这是一款27B参数模型，输出选项概率而非自由文本。该公司称模型在37项基准测试中得分67.31；它仅支持多选题和是非题。 模型从给定选项中作出选择并返回概率分布。它在工具选择和意图分类方面表现突出，但在开放式推理及部分其他测试中较弱。
这条内容对你有用吗？
一项研究发现，AI模型能够识别智能体日志中的部分不当行为，但提高检出率也会增加对无害行为的误报。结果表明，这类审计员或许更适合估算问题发生的频率，而非用于必须发现每一起事件的安全检查。 Andy Hall使用METR的MALT数据集日志评估了多个模型。在误报率为5%时，GPT-5检出了47起奖励作弊案例中的近98%，Gemini 3.8 Flash则只检出约一半。审计员检出了71%至81%的故意隐藏能力案例，其中大多数是合成案例。
这条内容对你有用吗？
开启讨论。