Исследователи в области кибербезопасности раскрыли детали устраненной уязвимости, которая могла быть использована для обхода режима блокировки (Lockdown Mode) в OpenAI ChatGPT. Режим блокировки был представлен компанией OpenAI в июне 2026 года как дополнительная настройка для минимизации рисков утечки данных, связанных с внедрением команд (prompt injection).
Уязвимость позволяла осуществлять незаметную кражу данных чата, фишинг и доставку вредоносного ПО, включая эксфильтрацию данных без участия пользователя в настольном приложении ChatGPT. По словам Эли Смаджи, руководителя отдела исследований Check Point, проблема заключалась в предварительном просмотре HTML-страниц внутри блоков кода ChatGPT, что позволяло отображать HTML-контент непосредственно в приложении.
Хотя контент помещался в изолированную среду (sandbox) для предотвращения доступа к данным приложения, такой как файлы cookie и локальное хранилище, и для ограничения связи с внешними ресурсами без согласия пользователя, режим блокировки ограничивал исходящие сетевые запросы. Однако исследователи обнаружили лазейку в обработке всплывающих окон при предварительном просмотре HTML, которая позволяла выйти из sandbox и обойти режим блокировки.
“HTML-предварительный просмотр использовал вложенные изолированные фреймы, и хотя ChatGPT перехватывал прямые попытки открыть новые окна, разрешения базовой среды sandbox все еще позволяли всплывающим окнам выходить из нее”, — пояснил Смаджа. “Создав еще один вложенный фрейм внутри отображаемой страницы, можно было получить доступ к неизмененной функции всплывающего окна и обойти ограничения, наложенные на исходный HTML-предварительный просмотр. Контент, открытый таким образом, больше не подпадал под те же ограничения sandbox, предоставляя способ обойти защиту режима блокировки”.
После обхода ограничений злоумышленник мог использовать уязвимость для кражи данных, сообщений чата или доставки вредоносных полезных нагрузок с помощью специально сформированного запроса, вредоносного GPT или общего чата. Более того, поскольку злоумышленник полностью контролировал контент, отображаемый во всплывающем окне, он мог использовать его для создания убедительных приманок социальной инженерии, таких как поддельное обновление ChatGPT, и обманом заставить жертву загрузить вредоносное ПО, убедив ее перейти по ссылке.
Отмечается, что данная уязвимость не ограничивалась средой рабочего стола на базе Electron, что подчеркивает, как слабости вне области действия модели ИИ могут подорвать меры безопасности ИИ. После ответственного раскрытия информации OpenAI устранила уязвимость 18 сентября 2026 года.
“Режим блокировки был специально разработан для снижения вероятности утечки данных из разговора через потенциально вредоносные исходящие запросы, однако слабость в другой функции приложения предоставила альтернативный путь в обход этого защитного барьера”, — сказал Смаджа. “Это открытие поднимает более широкую проблему корпоративной безопасности: меры безопасности ИИ сильны настолько, насколько сильна окружающая их среда приложения”.
Это сообщение появилось через неделю после того, как Parameter Labs подробно описала способ обхода sandbox и политики безопасности контента (CSP) ChatGPT, позволяющий захватить учетную запись любого пользователя, просто отправив ему ссылку на общедоступный чат ChatGPT, контролируемый злоумышленником, и предложив перейти по ней и нажать на предварительный просмотр HTML. Если блок HTML помечен как доступный для предварительного просмотра, он открывается автоматически.
“Злоумышленник мог создать вредоносный разговор, опубликовать его с помощью обычной функции общего доступа ChatGPT и отправить ссылку другому пользователю”, — сказал исследователь безопасности Мукул Гоял. “Когда жертва открывала ссылку, полезная нагрузка выполнялась на сайте chatgpt[.]com с доступом к аутентифицированной веб-сессии жертвы”.
Ранее в сентябре Check Point также продемонстрировала скрытый межсетевой канал команд, через который злоумышленник мог использовать сеанс ChatGPT жертвы для выполнения скрытых задач с использованием инструментов, данных и подключенных приложений, доступных для этого сеанса, наряду с видимым разговором.
“Жертва могла получить обычный ответ на свой видимый запрос, в то время как задача злоумышленника обрабатывалась отдельно и ее результат возвращался между учетными записями”, — заявили в Check Point. “Канал работал через среды выполнения кода, принадлежащие разным учетным записям ChatGPT”.
“Скрытая инструкция могла быть доставлена через вредоносный запрос, общий разговор ChatGPT или пользовательский GPT. Как только она попадала в контекст разговора жертвы, обычное сообщение могло инициировать управляемую злоумышленником задачу, не раскрывая ее в видимом ответе”.
Эти выводы совпадают с обнаружением ряда недостатков безопасности в различных инструментах и сервисах на базе ИИ за последние несколько месяцев, которые использовались для того, чтобы заставить их раскрывать секреты или выполнять несанкционированные действия.
“Агенты становятся стандартной инфраструктурой в CI/CD, обмене сообщениями, сортировке, реагировании на инциденты и поддержке”, — заявили в Novee Security. “Чем более автономными они становятся, тем больше система решает за вас, что безопасно, и тем больше недоверенного ввода достигает реального выполнения”.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
