Даже усиленный режим защиты ChatGPT не помешал исследователям незаметно отправить целую переписку на сторонний сервер. Специалисты Check Point Research нашли способ обойти Lockdown Mode, а также использовать интерфейс чат-бота для фишинга и распространения вредоносных файлов.
Lockdown Mode появился в ChatGPT в июне 2026 года для защиты конфиденциальных данных. Режим ограничивает сетевые запросы, блокирует загрузку изображений из интернета и отключает Deep Research, Agent Mode и внешние подключения. Ограничения должны мешать утечкам через вредоносные инструкции.
Однако исследователь Алексей Бухтеев обнаружил слабое место не в языковой модели, а в механизме предварительного просмотра HTML. ChatGPT позволяет отображать HTML-страницы прямо в блоках кода. JavaScript на таких страницах выполняется в песочнице без свободного доступа к интерфейсу и сети.
Проблема оказалась связана с всплывающими окнами. Предпросмотр использовал вложенные фреймы с ограничениями безопасности. ChatGPT перехватывал обычные попытки открыть окно, но разрешения песочницы позволяли всплывающим окнам выходить за её пределы. Дополнительный вложенный фрейм позволил вызвать функцию открытия окна без ограничений.
Через новый канал можно было передать сведения на сервер злоумышленника, несмотря на включённый Lockdown Mode. В демонстрации исследователи использовали специально подготовленный GPT, который отправлял сообщения из переписки без предупреждения пользователя. Особенно опасным оказался сценарий для настольного ChatGPT на базе Electron: появление окна не требовало отдельного нажатия или подтверждения.
Обход ограничений открывал и другие возможности. Злоумышленник мог показать поддельное окно обновления ChatGPT и предложить скачать вредоносную программу. В настольном приложении такое окно сохраняло знакомый значок ChatGPT, повышая убедительность подделки. Для скачивания файла всё же требовался переход по ссылке, поэтому сценарий заражения нельзя считать атакой без участия пользователя.
Исследователи также показали возможность манипулировать основным окном приложения, вплоть до принудительного выхода из учётной записи. Так можно направить жертву на поддельную страницу входа. Начать атаку позволяли вредоносный запрос, GPT или общая беседа.
Check Point Research описала атаку 5 ноября. OpenAI ещё 18 сентября уведомила исследователей, что убрала разрешения песочницы, позволявшие обойти ограничения. Повторная проверка подтвердила, что описанный способ больше не работает. О реальных атаках исследователи не сообщили.