Pesquisadores da Check Point Research divulgaram uma vulnerabilidade no ChatGPT que permitia contornar o Lockdown Mode, configuração opcional de segurança criada pela OpenAI para impedir que ataques de prompt injection levem dados sensíveis para fora da conversa. A falha já foi corrigida: segundo os pesquisadores, a OpenAI aplicou a solução em 18 de setembro, e novos testes confirmaram que a técnica deixou de funcionar.
O Lockdown Mode corta os caminhos por onde dados poderiam sair do chat: limita a navegação a conteúdo em cache, bloqueia imagens externas, impede requisições de rede no código gerado pelo Canvas e desliga recursos como Deep Research, Agent Mode, conectores e downloads. A brecha estava na pré-visualização de páginas HTML, adicionada aos blocos de código do ChatGPT em fevereiro.
Essa pré-visualização roda isolada em uma sandbox, mas a configuração permitia abrir janelas pop-up que escapavam desse isolamento. Criando um iframe extra dentro da página, um atacante conseguia acionar a função original de abrir janelas e executar código fora da sandbox, ignorando também as restrições do Lockdown Mode.
Com isso, era possível roubar o histórico completo de conversas e arquivos enviados, exibir janelas falsas com o ícone do ChatGPT para distribuir malware disfarçado de atualização e até desconectar o usuário para capturá-lo em uma página de login falsa. O ataque podia chegar por um prompt malicioso, por um GPT personalizado ou por um link de conversa compartilhada.
No aplicativo de desktop ChatGPT Classic, o risco era maior: os pesquisadores constataram que as janelas abriam sem nenhuma ação do usuário, então bastava conversar com um GPT malicioso para os dados vazarem silenciosamente. A Check Point lembra que, à medida que assistentes de IA passam a executar código e exibir conteúdo, cada novo recurso amplia a superfície de ataque.
Fonte: Check Point Research