調査により、ChatGPTのLockdown Modeを回避できる欠陥が見つかりました。攻撃者はこの欠陥を悪用すると、信頼されたインターフェースの内部から、チャット履歴の全体を気付かれずに外部へ持ち出し、マルウェアを配布し、認証情報をフィッシングで盗み取れます。
研究者のAlexey Bukhteyev氏が、2026年11月5日に調査結果を公開しました。ChatGPT Classicデスクトップアプリでは、会話をするだけで情報が漏えいしました。
OpenAIはLockdown Modeを、プロンプトインジェクションによるデータ窃取を抑えるための、任意で有効にする高度な設定として用意しました。ブラウジングはキャッシュ済みコンテンツに限定し、Web上の画像もブロックします。
さらに、Canvasのネットワーク機能、Deep Research、Agent Mode、ライブコネクタ、ファイルのダウンロードも無効にします。狙いは、インジェクションされたプロンプトが成功した場合でも、会話からデータが流出し得る経路をすべて塞ぐことです。ところが今回のバイパスにより、こうした保護は意味を失いました。
ChatGPT Lockdown Mode
OpenAIは2026年2月、ChatGPTのコードブロックにHTMLページのプレビュー機能を追加しました。攻撃者が影響を及ぼせるHTMLやJavaScriptを描画するのは危険なため、OpenAIはこれを入れ子になった2つのサンドボックス化されたiframeに配置しました。このサンドボックスは、外部へのリクエスト、リモート画像、リンク、ポップアップを遮断し、承認ダイアログを表示します。
弱点はiframeの権限設定にありました。外側のサンドボックスは、allow-popupsとallow-popups-to-escape-sandboxの両方を許可していました。これを補うため、OpenAIのスクリプトはwindow.openを上書きし、ポップアップにユーザーの承認を必要としました。URLが空、またはabout:blankの呼び出しはnullを返す仕組みでした。
Check Pointの研究者らが明らかにしたところによると、この上書きが及ぶのは最上位のページだけでした。スクリプトがさらに入れ子のiframeを作成してそのcontentWindow.openを呼び出せば、本物のポップアップを開けます。サンドボックスはポップアップの脱出を許可していたため、新しいウィンドウはサンドボックスの外で任意のHTMLを実行しました。これにより、プレビューの制限とLockdown Modeの両方が回避されました。
フィッシング、マルウェア、ゼロクリックでの窃取
偽装されたポップアップはChatGPTのアイコンを保ったまま、タイトルを攻撃者が自由に設定できます。そのため、ユーザーはアプリの内部にいると信じ込みます。攻撃者は、ChatGPTのアップデートを装ったマルウェアを提示できました。
デスクトップアプリは自動ダウンロードをブロックするため、被害者がリンクをクリックする必要があります。一方、ブラウザーはダウンロードをブロックせず、被害者のアカウントも必要ありません。悪意あるページを含むチャットを共有するだけで足りるため、共有されたチャット内のコンテンツをクリックするのは危険です。
最も深刻だったのは、Electronベースの ChatGPT Classicアプリでの発見です。このアプリではユーザーのジェスチャーなしでwindow.openが動作しました。悪意あるプロンプト、悪意あるGPT、共有されたチャットのいずれかを使うと、ユーザーの操作なしに、チャットメッセージを攻撃者のサーバーへ密かに送信できました。
研究者らは、アプリケーションのメインウィンドウを再読み込みし、強制的にサインアウトさせることにも成功しました。攻撃者はその後、被害者を偽のログインページに誘導し、認証情報を再入力させられます。
この件は、ChatGPTからの情報流出に関する一連の研究に続くものです。以前には、コード実行ランタイムの隠れた送信チャネルを通じて、ChatGPTの脆弱性によりプロンプトが密かに漏えいする問題がありました。
Study Security
Check Pointは、このDNSトンネリングの欠陥を自社の解説記事で詳しく説明しています。URLを使った情報流出に関するOpenAIのガイダンスは、attacker.example/collect?data=<private data>のようなリンクが、チャット上に何も表示されないまま情報を漏えいさせ得る理由を説明しています。
Check Pointは、この問題を責任ある形で報告しました。OpenAIは2026年9月18日、HTMLプレビューの外側のiframeからallow-popupsとallow-popups-to-escape-sandboxの権限を削除したと説明しました。研究者らが再テストを行い、この手法がもう通用しないことを確認しています。
AIアシスタントは今や、クラウド上でコードを実行し、クライアント側でコンテンツを描画する完全な実行環境として機能しており、医療や金融などの機密データも扱っています。便利な機能が増えるたびに、攻撃対象領域は広がります。
関連するリスクも相次いで見つかっており、アカウントをまたいでGmailのデータを露出させたChatGPTの欠陥もその一例です。ガードレールは役立ちますが、安全を保証するものではありません。ユーザーは共有チャット内のコンテンツをクリックしないようにし、AIに機密データを渡す前によく考える必要があります。防御側は、ユーザーの目に触れない層も含め、プラットフォーム全体を評価すべきです。
SOCにアラートの文脈を提供し、インシデントを迅速に食い止めましょう。1万6,000のSOCの脅威インテリジェンスを統合。
翻訳元: https://gbhackers.com/chatgpt-lockdown-mode-bypass/
