Cross-Site Scripting: DOM AI

向一个 Web 浏览器发送未经验证的数据会导致该浏览器执行恶意代码。

Cross-Site Scripting (XSS) 漏洞会在以下情况下发生：

1.数据通过一个不可信赖的数据源进入 Web 应用程序。对于基于 DOM 的人工智能 (AI) XSS，AI 提示响应的数据通过客户端代码写回到页面中。对于 Reflected XSS，不可信赖的数据源通常为 Web 请求，而对于 Persisted（也称为 Stored）XSS，该数据源通常为数据库或其他后端数据存储。


2.未经验证但包含在动态内容中的数据将传送给 Web 用户。对于基于 DOM 的 XSS，任何时候当受害人的浏览器解析 HTML 页面时，恶意内容都将作为 DOM（文档对象模型）创建的一部分执行。

传送到 Web 浏览器的恶意内容通常采用 JavaScript 片段的形式，但也可能会包含一些 HTML、Flash 或者其他任意一种可以被浏览器执行的代码。基于 XSS 的攻击手段花样百出，几乎是无穷无尽的，但通常它们都会包含传输给攻击者的私有数据（如 Cookie 或者其他会话信息）。在攻击者的控制下，指引受害者进入恶意的网络内容；或者利用易受攻击的站点，对用户的机器进行其他恶意操作。

示例 1：以下 JavaScript 代码段从大型语言模型 (LLM) 检索响应并将其显示给用户。

<SCRIPT>
var response = llm.invoke(user_prompt);
...
document.write(response);
</SCRIPT>

当攻击者可以修改浏览器的 DOM，从而以非预期且具有潜在危险的方式执行客户端代码时，发生基于 DOM 的 XSS。

LLM 的输出是不可预测的，这使得攻击者可以利用提示工程技术产生意外的输出，并绕过旨在防止 LLM 产生危险响应的开发人员指令。

正如示例中所示，XSS 漏洞是由于代码包含了 LLM 响应中未验证的数据而引起的。受害者遭受 XSS 攻击的途径有三种：

- 系统从 HTTP 请求中直接读取数据，并在 HTTP 响应中返回数据。当攻击者诱使用户为易受攻击的 Web 应用程序提供危险内容，而这些危险内容随后会反馈给用户并在 Web 浏览器中执行时，就会发生 Reflected XSS 漏洞利用。发送恶意内容最常用的方法是，将恶意内容作为一个参数包含在公开发布或通过电子邮件直接发送给受害者的 URL 中。以这种手段构造的 URL 已成为多种网络钓鱼阴谋的核心，攻击者会借此诱骗受害者访问指向易受攻击站点的 URL。该站点将攻击者的内容反馈给受害者后，便会执行这些内容，接下来会将用户计算机中的各种私密信息（比如可能包含会话信息的 Cookie）传输给攻击者，或者执行其他恶意活动。

— 应用程序将危险数据存储在数据库或其他可信赖的数据存储器中。这些危险数据随后会被读回到应用程序中，并包含在动态内容中。在以下情况下会发生 Persistent XSS 漏洞利用：攻击者将危险内容注入到数据存储中，而这些危险内容随后会被读取并包含在动态内容中。从攻击者的角度看，注入恶意内容的最佳位置莫过于显示给许多用户或显示给特定相关用户的区域。这些相关用户通常在应用程序中具备较高的特权，或者可以与敏感数据交互，这些数据对攻击者来说具有利用价值。如果某一个用户执行了恶意内容，攻击者就有可能以该用户的名义执行某些需要特权的操作，或者获得该用户个人敏感数据的访问权。

- 应用程序外部的源（例如 LLM）生成潜在危险的数据，将危险数据存储在数据库中，或从另一个数据存储中检索数据。这些危险数据随后会作为可信数据被读回到应用程序中，并包含在动态内容中。