Check Point нашла способ обойти Lockdown Mode в ChatGPT и вывести данные чатов
Исследователи Check Point раскрыли подробности уязвимости в ChatGPT, которая позволяла обойти режим Lockdown Mode и незаметно вывести данные переписки. По словам исследователей, атака могла работать без каких-либо действий пользователя в десктопном приложении. OpenAI исправила проблему 18 сентября 2026 года.
Главное в цифрах
- Дата исправления уязвимости OpenAI: 18 сентября 2026 года
- Lockdown Mode запущен в июне 2026 года
Lockdown Mode появился в ChatGPT в июне 2026 года как необязательная настройка. Её задача, снизить риск утечки данных через prompt injection, ограничивая исходящие сетевые запросы.
По данным Check Point, уязвимость была связана с HTML-превью блоков кода. Содержимое таких превью выводится внутри песочницы, которая не даёт доступа к cookies и локальному хранилищу приложения и не позволяет обращаться к внешним ресурсам без согласия пользователя. Однако исследователи нашли лазейку в обработке всплывающих окон: ChatGPT перехватывал прямые попытки открыть новое окно, но базовые разрешения песочницы всё равно позволяли создавать popup-окна, которые выходили за её пределы.
Как работала атака
Смаджа, руководитель исследований Check Point, объяснил, что для обхода достаточно было создать вложенный фрейм внутри отрисованной страницы. Через него можно было обратиться к немодифицированной функции popup, после чего контент, открытый таким способом, уже не подчинялся ограничениям исходной песочницы.
По словам исследователей, злоумышленник мог использовать уязвимость для кражи данных и переписки или доставки вредоносных файлов через специально составленный промпт, вредоносный GPT или общий чат. Поскольку атакующий контролирует содержимое всплывающего окна, его можно использовать для социальной инженерии, например, показать поддельное обновление ChatGPT и убедить жертву перейти по ссылке и скачать вредоносное ПО.
Check Point отмечает, что проблема не ограничивается десктопной версией на Electron. После ответственного раскрытия OpenAI закрыла уязвимость 18 сентября 2026 года.
Контекст
Раскрытие совпало с другими находками в ChatGPT. Неделей ранее Parameter Labs описала способ обойти песочницу и политику безопасности контента (CSP) и захватить аккаунт пользователя, если тот открыл публичную ссылку на чат и нажал на HTML-превью. Исследователь Мукул Гоял сообщил, что полезная нагрузка выполнялась на домене chatgpt[.]com с доступом к авторизованной сессии жертвы.
В сентябре Check Point также показала скрытый командный канал между аккаунтами ChatGPT. Через него атакующий мог запускать невидимые для пользователя задачи с инструментами и данными его сессии, а результат возвращался через code-execution окружения разных аккаунтов.
Smadja подчеркнул, что безопасность ИИ-контролей зависит от всей окружающей прикладной среды, а не только от самой модели.
