Check Point Research (CPR) обнаружили уязвимость, позволяющую обойти режим блокировки ChatGPT (Lockdown Mode) — функцию безопасности, предназначенную для снижения риска утечки данных вследствие промпт-инъекций. Этот изъян мог привести к скрытой краже данных чата, фишингу и распространению вредоносного ПО, включая утечку данных в режиме «нулевого клика» в настольном приложении ChatGPT.
OpenAI устранила уязвимость после ответственного раскрытия информации, но данная находка поднимает более широкую проблему корпоративной безопасности: эффективность средств защиты ИИ ограничена надежностью всей прикладной среды, в которой они функционируют.
Ключевые выводы
- Check Point Research удалось обойти режим блокировки ChatGPT — функцию безопасности, специально разработанную для ограничения утечки данных, вызванной промпт-инъекциями.
- Уязвимость могла способствовать реализации различных сценариев атак, включая утечку данных чата, phishing кражу учетных данных и распространение вредоносного ПО через доверенный интерфейс ChatGPT.
- Наиболее серьезным риском является возможность утечки данных без участия пользователя, независимо от способа доступа к ChatGPT. Хотя в демонстрации CPR использовалось настольное приложение, лежащий в основе метод не ограничивается только этой средой.
- Уязвимость возникла в более широкой прикладной среде, что демонстрирует, как недостатки за пределами самой модели ИИ могут подорвать специализированные средства защиты ИИ.
- OpenAI устранила уязвимость после ответственного раскрытия информации, и Check Point Research подтвердили, что метод, описанный в исследовании, больше не работает.
Что такое режим блокировки ChatGPT?
OpenAI представила режим блокировки (Lockdown Mode) как дополнительную расширенную настройку безопасности, предназначенную для снижения риска утечки конфиденциальной информации из ChatGPT в результате промпт-инъекций. Такие атаки направлены на манипулирование системой ИИ с помощью вредоносных инструкций, скрытых в обрабатываемом контенте, что потенциально может заставить ИИ или один из его инструментов выполнить непредусмотренное действие.
Одним из возможных последствий является утечка данных, при которой конфиденциальная информация отправляется в пункт назначения, контролируемый злоумышленником, без ведома пользователя. Режим блокировки снижает этот риск за счет ограничения нескольких потенциальных исходящих каналов, включая доступ к сети в реальном времени и изображения, размещенные в интернете, а также отключения таких функций, как Deep Research, Agent Mode, активные коннекторы и загрузка файлов.
Эти меры защиты значительно затрудняют передачу частной информации за пределы ChatGPT с помощью вредоносных инструкций. Однако Check Point Research обнаружили, что другая функция внутри приложения создает альтернативный путь в обход этих ограничений.
Как Check Point Research обошли режим блокировки ChatGPT
Уязвимость была связана с предварительным просмотром HTML-страниц внутри блоков кода ChatGPT — функцией, позволяющей отображать HTML-контент непосредственно в интерфейсе ChatGPT. Поскольку выполнение контролируемого пользователем HTML и JavaScript может создавать угрозы безопасности, этот контент помещается в «песочницу», предназначенную для изоляции от основного приложения ChatGPT.
«Песочница» предотвращала прямой доступ отображаемого контента к такой информации, как файлы cookie ChatGPT, локальное хранилище и интерфейс основного приложения. Она также контролировала попытки взаимодействия с внешними ресурсами и обычно требовала одобрения пользователя перед открытием внешней ссылки.
Check Point Research обнаружили слабое место в способе обработки всплывающих окон в этой среде. Предварительный просмотр HTML использовал вложенные изолированные фреймы, и хотя ChatGPT перехватывал прямые попытки открытия новых окон, базовые разрешения «песочницы» все еще допускали появление всплывающих окон и позволяли им выходить за пределы изоляции.
Исследователи обнаружили, что путем создания еще одного вложенного фрейма внутри отображаемой страницы можно получить доступ к немодифицированной функции всплывающего окна и обойти ограничения, наложенные на исходный предварительный просмотр HTML. Контент, открытый таким образом, больше не подпадал под действие тех же ограничений «песочницы», что обеспечило способ обхода защиты режима блокировки.
Значимость этого открытия выходит за рамки отдельного изъяна реализации. Режим блокировки был специально предназначен для снижения вероятности утечки данных из диалога через потенциально вредоносные исходящие запросы, однако слабость в другой функции приложения предоставила альтернативный путь в обход этого барьера безопасности. Это демонстрирует, как на средства защиты, разработанные для ИИ, могут влиять компоненты, расположенные в других частях приложения.
Рисунок 1 — Уведомление режима блокировки ChatGPT, отображаемое при попытке Canvas получить доступ к внешнему ресурсу.
Рисунок 2 — Предварительный просмотр HTML-страницы в ChatGPT.
От утечки данных до фишинга и распространения вредоносного ПО
Check Point Research установили, что уязвимость может быть применена в нескольких потенциальных сценариях атак, включая утечку данных, кражу учетных данных и распространение вредоносного ПО. Атака может исходить от вредоносного промпта, вредоносного GPT или общего чата, в зависимости от сценария.
Поскольку злоумышленник может контролировать контент, отображаемый во всплывающем окне, это также можно использовать для создания убедительных приманок социальной инженерии в среде, которой пользователи уже доверяют. Например, в настольном приложении ChatGPT новое окно сохраняло значок приложения ChatGPT, позволяя злоумышленнику контролировать его заголовок и содержимое.
Исследователи продемонстрировали, как это можно использовать для представления поддельного обновления ChatGPT и побуждения жертвы к загрузке вредоносного ПО. Они также обнаружили, что основным окном приложения можно манипулировать определенным образом, включая принудительный выход пользователя из системы, что создает возможность перенаправления жертвы на контролируемую злоумышленником страницу аутентификации, предназначенную для кражи учетных данных.
В настольном приложении для загрузки файла жертве все равно требовалось нажать на ссылку. Тем не менее, исследование демонстрирует, как компрометация границы вокруг доверенного интерфейса ИИ может сделать фишинговые и вредоносные приманки более убедительными, представляя их в среде, которую жертва уже узнает.
Почему утечка данных в режиме «нулевого клика» повысила риск
Наиболее серьезный сценарий, выявленный Check Point Research, касался настольного приложения ChatGPT на базе Electron, где всплывающее окно работало без необходимости совершения пользователем каких-либо действий. Это устранило важное препятствие для эксплуатации, поскольку жертве не обязательно было нажимать на ссылку или одобрять действие, прежде чем могла начаться attack утечка.
Исследователи продемонстрировали этот сценарий с использованием вредоносного GPT, который мог скрытно передавать сообщения чата на контролируемый злоумышленником сервер во время общения жертвы. На практике это означало, что простого взаимодействия с вредоносным контентом могло быть достаточно для раскрытия информации из диалога.
Для организаций это различие особенно важно, поскольку сотрудники все чаще используют ИИ-помощников в своей повседневной работе. Диалоги могут содержать конфиденциальную деловую информацию, загруженные документы или другой чувствительный контекст, что увеличивает потенциальный ущерб, если злоумышленник найдет способ пересечь границы, предназначенные для защиты этих данных.
Что это исследование означает для безопасности корпоративного ИИ
Эта уязвимость демонстрирует, почему безопасность ИИ должна выходить за рамки модели и отдельных средств защиты, таких как режим Lockdown Mode. Современные платформы ИИ объединяют модели с приложениями, средами выполнения для браузеров и настольных систем, «песочницами», средами выполнения кода и коннекторами. Это означает, что слабые места в других частях среды могут потенциально подорвать эффективность средств безопасности, предназначенных для защиты самого ИИ.
По мере того как системы ИИ получают все более широкий доступ к корпоративным данным и приложениям, организациям следует рассмотреть несколько практических мер:
- Получите представление об использовании ИИ: поймите, какие сервисы ИИ используют сотрудники и где происходит обмен корпоративной информацией.
- Контролируйте раскрытие конфиденциальных данных: установите политики и технические средства контроля в отношении типов информации, которой сотрудники могут делиться с сервисами ИИ.
- Смотрите шире безопасности моделей: рассматривайте приложения, среды выполнения, коннекторы и другие компоненты, окружающие модель, как часть общей поверхности атаки на ИИ.
- Снижайте влияние сторонних уязвимостей: ограничьте объем конфиденциальной информации, доступной сервисам ИИ, чтобы компрометация не приводила к автоматическому раскрытию всего, чем поделился пользователь или организация.
Именно здесь актуален более широкий подход Check Point к безопасности ИИ. Ценность в данном сценарии заключается не в том, что корпоративный продукт безопасности исправил бы эту конкретную уязвимость ChatGPT, а в том, что прозрачность использования ИИ и контроль над тем, какой информацией можно делиться с сервисами ИИ, помогают снизить риски при обнаружении слабых мест в сторонних платформах.
Check Point Research ответственно раскрыла информацию об уязвимости компании OpenAI, которая 18 сентября 2026 года сообщила исследователям о развертывании исправления, удаляющего разрешения «песочницы», которые позволяли использовать этот метод. Впоследствии Check Point Research повторно протестировала проблему и подтвердила, что описанный в исследовании метод эксплуатации больше не работает.
Для предприятий, внедряющих ИИ в масштабах всей компании, урок выходит за рамки этой отдельной уязвимости ChatGPT. Поскольку ИИ-ассистенты становятся все более способными выполнять код, обрабатывать файлы и подключаться к внешним сервисам, стратегии безопасности должны учитывать более широкую среду, окружающую модель. Большая прозрачность использования ИИ и более строгий контроль над конфиденциальной корпоративной информацией помогут организациям внедрять эти возможности, снижая при этом потенциальное воздействие при возникновении уязвимостей.
Полный технический анализ читайте в исследовании от Check Point Research here.
