ChatGPTのHTMLプレビュー機能にサンドボックス escape の脆弱性が見つかり、プロンプトインジェクションによるデータ流出を防ぐためにOpenAIが用意した強化設定「Lockdown Mode」が突破されていました。
研究者のAlexey Bukhteyev氏は、この欠陥によってチャット履歴の密かな窃取、認証情報のフィッシング、マルウェアの配布が可能になることを示しました。デスクトップ版のChatGPT Classicクライアントでは、ユーザーの操作は一切不要でした。
Lockdown Modeは、ライブブラウジングをキャッシュ済みコンテンツに限定し、リモート画像をブロックし、Canvasのネットワーク通信を無効にします。さらに、Deep Research、Agent Mode、ライブコネクタ、ファイルのダウンロードもオフにします。
これらの制御が対象とするのは、モデルをだまして attacker.example/collect?data=<private data> のようなリンクへリクエストさせる、URLベースのデータ流出です。今回のバイパスは、こうした経路をいずれも使いませんでした。
同じチームは以前にも、ChatGPTのコード実行環境にDNSトンネリングの経路が存在し、ネットワーク分離をすり抜けて会話データが漏えいする問題を報告しています。
OpenAIは2026年2月20日に修正を展開しました。今回の問題は、HackedGPTの研究がGPT-4oやGPT-5のゼロクリック経路で明らかにした、プロンプトインジェクション悪用の流れに連なるものです。
根本原因は、OpenAIが2026年2月にコードブロックへ追加したHTMLプレビューにあります。このプレビューは、攻撃者が影響を及ぼせるHTMLとJavaScriptを、入れ子になった2つのiframe内で描画します。
外側のsandbox属性では、allow-popupsとallow-popups-to-escape-sandboxのトークンが有効のままでした。これらのトークンがあると、あらゆるポップアップがサンドボックスの制限なしで開きます。
OpenAIはその対策として、サンドボックス内でwindow.openを上書きし、ポップアップの要求にはユーザーの承認を必要としていました。URLが空の呼び出しやabout:blankの呼び出しは、単にnullを返す仕組みです。
Alexey Bukhteyev氏は、この上書きが最上位のwindowオブジェクトにしか適用されていないことを突き止めました。ドキュメントに新しいiframeを追加し、f.contentWindow.open(“about:blank”)を呼び出すと、ページはネイティブの関数を入手でき、確認画面なしでポップアップを生成できます。
allow-popups-to-escape-sandboxが有効なため、このポップアップは任意のHTMLをサンドボックスの外、つまりLockdown Modeの制限の外で実行します。
同じ手法で、アプリケーションウィンドウのなりすましも可能です。ポップアップにはChatGPTのアイコンが残ったままタイトルだけを攻撃者が自由に決められるため、偽のアップデート画面もネイティブのように見えてしまいます。
デスクトップクライアントは自動ダウンロードをブロックするため、被害者がリンクをクリックする必要は残ります。一方、ブラウザではダウンロードがブロックされません。攻撃者は悪意あるページを含むチャットを共有でき、被害者はアカウントがなくても攻撃を発動させてしまいます。
そのため、悪意あるGPT、プロンプト、共有チャットによって、通常の会話中にメッセージが攻撃者管理のサーバーへ漏えいするおそれがあります。Alexey Bukhteyev氏は、メインのアプリケーションウィンドウのコンテンツを再読み込みし、強制的にサインアウトさせることにも成功しました。これにより、攻撃者が用意したページで認証情報を盗み取る再認証の罠を仕掛けられます。
2026年9月18日、OpenAIは外側のHTMLプレビュー用iframeからallow-popupsとallow-popups-to-escape-sandboxの権限を削除したと発表しました。Alexey Bukhteyev氏が再テストを行い、この手法がもう通用しないことを確認しています。
この事例は、利便性のための機能が決定論的な制御を損ないかねないことを示しています。エージェント環境では同様の分離の失敗が繰り返されており、Claude Coworkに影響したSharedRootサンドボックス escapeもその一例です。
防御側は、描画されたモデルの出力を信頼できないコンテンツとして扱い、iframeのサンドボックスは最小権限で適用し、コードを実行または描画するAIアシスタントには機密データを共有しないようにしてください。
ANY.RUNを導入している16,000以上のSOCチームの仲間入りをして、脅威調査を効率化し、手作業を減らしましょう。チームでの利用を検討する
翻訳元: https://cyberpress.org/chatgpt-lockdown-mode/
