Check Point описала обход Lockdown Mode в ChatGPT через HTML-предпросмотр

Исследователи Check Point раскрыли детали исправленной уязвимости в ChatGPT: через HTML-предпросмотр можно было обойти ограничения Lockdown Mode. В отдельных сценариях специально подготовленный контент создавал условия для незаметной утечки данных из чатов, в том числе без клика пользователя в десктопном приложении.

OpenAI исправила проблему 18 сентября 2026 года. В рассмотренном сообщении Check Point не приводятся сведения о пострадавших российских организациях: компания описала технически возможные сценарии эксплуатации.

Как работал обход

OpenAI представила Lockdown Mode в июне 2026 года как дополнительную настройку, снижающую риск утечек при инъекциях подсказок. В частности, режим ограничивает исходящие сетевые запросы, через которые конфиденциальная информация могла быть передана на инфраструктуру атакующего.

Проблема была связана с отображением HTML внутри блоков кода ChatGPT. Такой контент запускается в изолированной среде, чтобы пользовательские HTML и JavaScript не получали доступа к данным приложения, включая cookie и локальное хранилище. Изоляция также должна не позволять предпросмотру взаимодействовать с внешними ресурсами без согласия пользователя.

По данным Check Point, лазейка находилась в механизме обработки всплывающих окон. HTML-предпросмотр использовал вложенные фреймы в песочнице. ChatGPT перехватывал прямые попытки открыть новое окно, но базовые разрешения песочницы по-прежнему допускали всплывающие окна и позволяли им выйти за пределы изолированной среды.

Исследователи установили, что атакующий мог добавить в отображаемую страницу ещё один вложенный фрейм и обратиться к неизменённой функции открытия всплывающих окон. Контент, открытый таким способом, уже не подпадал под те же ограничения, что исходный HTML-предпросмотр. Так возникал альтернативный путь обхода Lockdown Mode.

Возможные последствия

После снятия ограничений атакующий потенциально мог использовать специально сформированный запрос, вредоносный GPT или общий чат для извлечения данных и сообщений из диалога либо доставки вредоносной нагрузки.

Содержимое всплывающего окна полностью контролировалось атакующим, поэтому оно могло применяться в социальной инженерии: например, имитировать обновление ChatGPT и склонять пользователя перейти по ссылке или загрузить вредоносное ПО. Check Point отдельно описала сценарий эксфильтрации без взаимодействия пользователя в десктопном приложении ChatGPT.

Исследователи отмечают, что проблема не ограничивается настольным клиентом на Electron. Она показывает, что защитные механизмы ИИ могут быть скомпрометированы недостатком в окружающей прикладной среде, а не в самой модели. Lockdown Mode уменьшает вероятность утечки через вредоносные исходящие запросы, но уязвимость в другой функции приложения создавала обходной канал.

Проверка таких контуров требует инвентаризации предпросмотров, общих ссылок, встроенных браузеров и прав, с которыми запускаются связанные инструменты. Если собственных ресурсов для такой оценки недостаточно, услуги ИТБ по информационной безопасности могут быть задействованы для проверки этих сценариев и границ доступа в прикладном контуре.

Другая проблема HTML-предпросмотра

За неделю до публикации этих результатов Parameter Labs описала другой обход песочницы ChatGPT и политики безопасности контента (CSP). Он позволял захватить учётную запись, если атакующий отправлял пользователю контролируемую публичную ссылку на ChatGPT и убеждал один раз нажать на HTML-предпросмотр. Когда HTML-блок был помечен как доступный для предварительного просмотра, он открывался автоматически.

В этом сценарии атакующий создавал вредоносный диалог, публиковал его штатной функцией общего доступа ChatGPT и отправлял ссылку другому пользователю. После открытия ссылки вредоносный код выполнялся в контексте chatgpt[.]com и получал доступ к аутентифицированной веб-сессии жертвы.

Check Point сообщила, что это две разные уязвимости одного компонента. Недостаток, связанный с захватом учётной записи, позволял выполнять JavaScript вне песочницы: жертва обращалась к chatgpt[.]com, а запросы к API отправлялись от её имени. По оценке компании, случай показывает, что каждая новая функция способна создавать новую поверхность атаки.

В сентябре Check Point также демонстрировала скрытый межаккаунтный канал команд. Через него атакующий мог использовать сессию ChatGPT жертвы для скрытых задач с доступными в ней инструментами, данными и подключёнными приложениями — параллельно с обычным видимым диалогом.

Пользователь при этом мог получить штатный ответ на свой запрос, пока отдельная задача атакующего обрабатывалась скрытно, а её результат передавался между учётными записями. Канал работал через среды выполнения кода, принадлежащие разным аккаунтам ChatGPT. Скрытая инструкция могла попасть в контекст через вредоносный запрос, общий диалог или пользовательский GPT; затем обычное сообщение пользователя запускало контролируемую атакующим задачу, не показывая её в ответе.

Другие исследования ИИ-сервисов

Обход Lockdown Mode раскрыт на фоне серии исследований уязвимостей в ИИ-инструментах и агентных системах. Общая черта этих работ — способность недоверенного контента заставлять модель или связанный компонент раскрывать секреты, выполнять несанкционированные действия либо использовать привилегии пользователя и сервисных учётных записей.

Среди опубликованных работ:

• SkillJacking — атака на зависимости, используемые навыками ИИ: репозитории, пакеты, домены или облачные приложения. Захват зависимости может скомпрометировать всех агентов, которые её устанавливают.
• Embrace — набор недостатков встроенных браузеров в Cursor, GitHub Copilot, OpenAI Codex, Microsoft Visual Studio Code и Anthropic Claude Desktop. Они могут использоваться для выполнения кода на хосте, чтения и кражи файлов либо подделки адресной строки. Название расшифровывается как EMbedded BRowser — Arbitrary Code Execution, Arbitrary Content Exfiltration и Arbitrary Context Emulation: произвольное выполнение кода, эксфильтрация содержимого и эмуляция контекста во встроенном браузере.
• Repeat-After-Me — техника против LangChain LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents и CrewAI. Она маскирует вызов инструментов под внешне безобидную просьбу повторить текст.
• AgentCorruption — уязвимость незащищённого ИИ-агента на AWS Bedrock AgentCore. Через инъекцию подсказок атакующий мог влиять на агента, извлекать его учётные данные IMDS, затем получать доступ к другим агентам, приватным разговорам и учётным данным подключённых инструментов, а также менять поведение агента.
• Cryptographic Context Injection — проблема в SpaceXSI Grok и GitHub Copilot CLI. Косвенная инъекция подсказки, скрытая в зашифрованном AES тексте, могла с одной веб-страницы читать локальные файлы разработчика и передавать их на внешний сервер.
• SalesBleed — zero-click-уязвимость Salesforce Agentforce. Для внедрения полезной нагрузки с косвенной инъекцией подсказки применялась форма Web-to-Lead, что могло привести к извлечению конфиденциальных данных учётных записей.
• not-a-mused — PoC, в котором локальный непривилегированный атакующий или процесс мог перенаправлять трафик диктовки Meta Muse и злоупотреблять разрешениями ИИ-помощника для произвольных действий.
• Plugin4Shell — zero-click-уязвимость цепочки поставок ИИ. Она позволяла незаметно заменить доверенный плагин вредоносным в обход закрепления SHA. Как описала Air Security, агент извлекал коммит, закреплённый в маркетплейсе, но не проверял, был ли этот коммит действительно опубликован там. Контролирующий репозиторий плагина атакующий мог направить извлечение к вредоносному коду, хотя закрепление внешне оставалось соблюдённым. Результатом могло стать удалённое выполнение кода без действий пользователя в Claude Code, Codex, GitHub Copilot и Gemini CLI.

Тема подмены ИИ-инструментов уже затрагивалась в материале TTL о том, как Yoba маскирует майнер XMRig под приложения ChatGPT и Claude на GitHub.

• BragJack — атака на ИИ-агентов в браузерах Google Chrome, Microsoft Edge, Opera Neon, Perplexity Comet и Anthropic Claude в Chrome. Для неё необходимо уже установленное вредоносное расширение браузера вместе с принудительным вводом подсказок.
• «Дрейф выборки» — поведенческий эффект, при котором невидимый водяной знак в выводе LLM непреднамеренно меняет поведение модели, включая набор вызываемых агентом инструментов, и, вероятно, ослабляет механизмы безопасного отказа. По данным Lasso Security, водяные знаки влияют на реакцию модели на явно вредоносные запросы; при сочетании тех же запросов с внедрением подсказок эффект усиливается. Для нескольких моделей водяные знаки повышали вероятность ответа на вредоносный запрос, который без них был бы отклонён.
• Набор атак на ИИ-агентов поддержки клиентов, позволяющий использовать их для подготовки и отправки фишинговых писем, вызова инструментов и обхода средств защиты, основанных на MFA.
• PuzzleMask — метод обхода быстрой проверки политик, выполняемой облегчённой моделью-шлюзом. Вредоносная инструкция скрывается в специально подготовленном прозаическом тексте, проходит шлюз и затем обрабатывается более мощной целевой моделью, способной инициировать вредоносные действия.
• «Угон идентичности рабочего процесса» — техника, при которой атакующий посылает обычные на вид запросы через неавторизованную точку входа. Корпоративный ИИ-конвейер принимает их и выполняет нужное действие. По оценке Noma Security, ключевая проблема — отсутствие у исходного запрашивающего полномочий на отправку такого запроса. Последующие действия выполняются высокопривилегированными сервисными учётными записями или API-ключами разработчиков, а не после проверки разрешений внешнего пользователя. Это может превращать ИИ-процессы в неаутентифицированный прокси для привилегированных действий и скрытого вывода данных.
• PleaseFix — класс zero-click-уязвимостей против ИИ-агентов в агентных браузерах. Вредоносные инструкции размещаются в письмах, приглашениях календаря или на веб-страницах; техника «коллизии намерений» должна заставить агента действовать в интересах атакующего, используя идентичность, права и доступ пользователя.
• Набор уязвимостей ИИ-агентов для программирования Anthropic, Google и OpenAI. Они могли использоваться для раскрытия секретных данных жертвы, постоянного «отравления» инструкций через изменение AGENTS.md и компрометации выпусков ПО путём внедрения подсказок в недоверенные пользовательские данные, например в задачи GitHub.

Что учитывать организациям

Для российских организаций эти работы важны прежде всего как напоминание: оценивать следует не только устойчивость модели к инъекциям подсказок, но и весь прикладной контур вокруг неё — предпросмотры, встроенные браузеры, плагины, общие ссылки, среды выполнения кода, подключённые инструменты и сервисные учётные записи.

Особого внимания требуют сценарии, в которых ИИ-агент получает данные из писем, веб-страниц, календарей, задач или общих диалогов, а затем может вызывать инструменты либо действовать с правами пользователя. Чем больше агент автоматизирует процессы в CI/CD, обмене сообщениями, обработке запросов, реагировании на инциденты и технической поддержке, тем важнее контролировать, какие недоверенные входные данные доходят до реального выполнения и от чьего имени запускаются последующие действия.

Практический вывод: Lockdown Mode и другие ограничения исходящих запросов не стоит считать самостоятельной гарантией защиты данных. Для сервисов с ИИ-агентами необходимо учитывать уязвимости интерфейса, изоляции контента, цепочек поставок и управления правами: именно эти смежные компоненты могут создать путь обхода ограничений модели.