Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa ujawnili podatność w aplikacji ChatGPT, która pozwalała obejść mechanizmy ochronne zaprojektowane w celu ograniczenia wycieku danych z rozmów. Problem dotyczył renderowania podglądów HTML w blokach kodu oraz sposobu, w jaki aplikacja egzekwowała reguły sandboxingu. W praktyce luka mogła otworzyć drogę do cichej eksfiltracji treści czatów, prezentowania wiarygodnych przynęt socjotechnicznych oraz uruchamiania złośliwych scenariuszy bez dodatkowej interakcji ze strony użytkownika.
W skrócie
- Podatność dotyczyła funkcji podglądu HTML w ChatGPT.
- Mechanizm Lockdown Mode miał blokować ryzykowne żądania wychodzące i utrudniać wyciek danych.
- Atak wykorzystywał zagnieżdżone ramki sandbox oraz obsługę wyskakujących okien.
- Po obejściu ograniczeń atakujący mógł uzyskać alternatywny kanał do wyprowadzenia danych z konwersacji.
- Luka została zgłoszona odpowiedzialnie i załatana 18 września 2026 roku.
Kontekst / historia
Lockdown Mode został zaprojektowany jako dodatkowa warstwa bezpieczeństwa mająca ograniczać skutki prompt injection oraz utrudniać przesyłanie danych do infrastruktury kontrolowanej przez atakującego. Założenie było jasne: nawet jeśli niebezpieczna treść trafi do kontekstu rozmowy, środowisko wykonawcze powinno uniemożliwić jej wykorzystanie do komunikacji poza zaufany obszar aplikacji.
Ujawniona podatność wpisuje się w szerszy trend badań nad bezpieczeństwem narzędzi generatywnej AI. Coraz częściej okazuje się, że ryzyko nie wynika wyłącznie z samego modelu, ale również z przeglądarek osadzonych, komponentów interfejsu, integracji zewnętrznych i błędów w izolacji aktywnej treści. Dla zespołów bezpieczeństwa oznacza to konieczność analizowania platform AI jak złożonych aplikacji, a nie jedynie jak modeli językowych udostępnionych przez okno czatu.
Analiza techniczna
Źródłem problemu był mechanizm podglądu HTML renderowanego bezpośrednio w aplikacji ChatGPT. Tego typu zawartość miała być izolowana w sandboxie, aby ograniczyć dostęp do wrażliwych zasobów, takich jak pamięć lokalna, cookies czy nieautoryzowana komunikacja sieciowa. W teorii taka separacja powinna uniemożliwić nadużycie aktywnej treści HTML i JavaScript.
Badacze wykazali jednak, że logika obsługi popupów pozostawiała lukę umożliwiającą obejście ochrony. Podgląd HTML działał w zagnieżdżonych ramkach objętych sandboxem. Chociaż aplikacja przechwytywała bezpośrednie próby otwierania nowych okien, niższa warstwa uprawnień nadal dopuszczała mechanizm popupów i pozwalała na „ucieczkę” poza pierwotne ograniczenia. Dzięki wykorzystaniu dodatkowej zagnieżdżonej ramki możliwe było odwołanie się do niezmodyfikowanego mechanizmu otwierania nowego okna i uruchomienie kontrolowanej treści poza restrykcjami oryginalnego podglądu.
Z perspektywy operacyjnej miało to istotne znaczenie. Po wyjściu poza ograniczenia Lockdown Mode atakujący mógł przejąć kontrolę nad nowym oknem i użyć go jako etapu kolejnego ataku. Taki scenariusz umożliwiał przygotowanie złośliwego promptu, spreparowanego niestandardowego GPT albo współdzielonej rozmowy, która po otwarciu prowadziła do wycieku danych z czatu. Co więcej, kontrolowane okno mogło wyświetlać fałszywe komunikaty o aktualizacji, logowaniu lub wymaganej akcji bezpieczeństwa, zwiększając skuteczność socjotechniki i ryzyko instalacji malware.
Najważniejszy wniosek jest taki, że problem nie dotyczył wyłącznie warstwy modelu AI. Była to luka w środowisku wykonawczym i logice izolacji aktywnej treści. Właśnie dlatego sprawa ma znaczenie nie tylko dla twórców systemów AI, ale także dla zespołów AppSec, Product Security i Red Team, które muszą brać pod uwagę zależności między modelem, interfejsem i silnikiem renderującym.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją była możliwość eksfiltracji treści rozmów bez wyraźnej i świadomej akcji użytkownika. W środowisku firmowym mogłoby to oznaczać ujawnienie danych projektowych, fragmentów kodu, opisów incydentów, danych klientów lub innych informacji poufnych wprowadzanych do platformy AI w ramach codziennej pracy.
Drugim ważnym wektorem była socjotechnika. Atakujący mógł wykorzystać interfejs aplikacji do prezentowania wiarygodnie wyglądających komunikatów, zachęcających do pobrania pliku, zalogowania się ponownie lub wykonania rzekomej aktualizacji. W praktyce oznacza to połączenie klasycznych technik webowych z nadużyciem zaufania do narzędzia AI.
Trzecie ryzyko ma charakter strategiczny. Incydent pokazał, że pojedyncza warstwa ochronna, nawet zaprojektowana jako istotny mechanizm obronny, nie gwarantuje bezpieczeństwa, jeśli istnieją alternatywne ścieżki obejścia przez inny komponent aplikacji. Dla organizacji wdrażających generatywną AI to sygnał, że platformy tego typu należy traktować jak rozbudowane środowiska wysokiego ryzyka.
Rekomendacje
Organizacje korzystające z ChatGPT i podobnych rozwiązań powinny przyjąć model defense-in-depth. Podstawą jest szybkie wdrażanie poprawek bezpieczeństwa oraz regularna weryfikacja aktualności klientów desktopowych, webowych i powiązanych komponentów. Szczególnie istotne jest to tam, gdzie narzędzia AI mają dostęp do danych firmowych lub integrują się z innymi usługami.
- Ograniczać zakres danych wprowadzanych do systemów AI i klasyfikować je zgodnie z politykami bezpieczeństwa.
- Minimalizować uprawnienia oraz wyłączać zbędne integracje zwiększające powierzchnię ataku.
- Monitorować nietypowe zachowania aplikacji, takie jak otwieranie zewnętrznych okien, pobieranie plików czy nieoczekiwane przekierowania.
- Wykorzystywać mechanizmy EDR, filtrowanie DNS, kontrolę aplikacji oraz izolację przeglądarki w środowiskach korporacyjnych.
- Szkolić użytkowników, aby traktowali nietypowe komunikaty w interfejsie AI jako potencjalnie podejrzane.
- Rozszerzyć testy bezpieczeństwa o scenariusze obejmujące prompt injection, nadużycia podglądu HTML, luki w sandboxie i eskalację przez integracje.
Podsumowanie
Obejście Lockdown Mode w ChatGPT pokazuje, że bezpieczeństwo systemów AI zależy nie tylko od filtrów modelu i ochrony przed prompt injection, ale również od jakości implementacji interfejsu oraz poprawności izolacji treści aktywnej. Pojedyncza luka w logice aplikacji może unieważnić założenia całej warstwy ochronnej, jeśli umożliwia uzyskanie alternatywnego kanału działania.
Dla branży cyberbezpieczeństwa to kolejny dowód, że platformy AI należy analizować jak pełnoprawne systemy aplikacyjne. Skuteczna ochrona wymaga wielowarstwowego podejścia, regularnego patchingu, monitoringu zachowań klienta i rygorystycznego zarządzania zaufaniem do treści renderowanych w interfejsie użytkownika.
Źródła
- The Hacker News — https://thehackernews.com/2026/11/researchers-bypass-chatgpt-lockdown.html
- OpenAI Help Center: ChatGPT agent — https://help.openai.com/en/articles/11752874-chatgpt-agent