OpenAI закрыла обход Lockdown Mode в ChatGPT через HTML-превью
OpenAI устранила уязвимость в ChatGPT, которая позволяла обходить защиту Lockdown Mode и потенциально выводить данные переписки без участия пользователя. Check Point сообщила, что проблема затрагивала HTML-превью в блоках кода, а исправление было выпущено 18 сентября 2026 года.
Lockdown Mode OpenAI представила в июне 2026 года как дополнительную настройку для снижения риска утечки данных через prompt injection. Режим ограничивает исходящие сетевые запросы, которыми вредоносный контент мог бы передать сведения на инфраструктуру злоумышленника.
Как работал обход защиты
HTML-контент в превью ChatGPT отображается в песочнице. Она должна изолировать код от данных приложения, включая cookies и локальное хранилище, а также не допускать обращений к внешним ресурсам без согласия пользователя.
По данным Check Point, слабое место оказалось в обработке всплывающих окон. Превью использовало вложенные изолированные фреймы: ChatGPT перехватывал прямые попытки открыть новое окно, но разрешения песочницы всё же допускали создание popup и его выход за её пределы.
Исследователи смогли создать ещё один вложенный фрейм и обратиться к неизменённой функции открытия окна. Контент, запущенный таким способом, уже не подчинялся тем же ограничениям песочницы и мог обойти барьер Lockdown Mode.
Какие сценарии были возможны
После обхода ограничений атакующий мог попытаться передать наружу данные чата или сообщения, а также доставить вредоносную нагрузку. Вектором мог стать специально подготовленный запрос, вредоносный GPT либо общая ссылка на беседу.
Контроль над содержимым popup создавал и риск социальной инженерии. Например, окно могло имитировать обновление ChatGPT и убеждать пользователя перейти по ссылке для загрузки вредоносного файла.
Check Point подчёркивает, что проблема не сводилась к настольной оболочке на Electron. Она показывает, что механизмы защиты ИИ могут быть ослаблены уязвимостью в окружающих функциях приложения, даже если сам режим безопасности ограничивает сетевые обращения.
Что учитывать организациям
В этом случае OpenAI уже выпустила исправление, поэтому организациям стоит убедиться, что используемый клиент ChatGPT получает актуальные обновления. Отдельное внимание следует уделять недоверенным общим чатам, пользовательским GPT и сообщениям с кодом или HTML-превью.
Для бизнеса практический вывод прост: защиту ИИ-сервиса нельзя рассматривать изолированно. Мы рекомендуем включать контроль клиентских обновлений и правила работы с внешним контентом в общую модель защиты корпоративных ИИ-инструментов.