Найден обход Lockdown Mode ChatGPT: злоумышленник мог украсть историю диалогов

Суть проблемы — в механизме предварительного просмотра HTML-страниц внутри диалога. ChatGPT может отображать веб-контент, но исполняет его в изолированной среде — песочнице, которая не должна иметь доступ к интерфейсу приложения или сети. Однако на практике ограничения можно было раздвинуть: JavaScript из вложенных фреймов получал разрешения, позволявшие всплывающим окнам выходить за пределы изоляции.

Атака начиналась безобидно — достаточно было отправить жертве вредоносный запрос, переслать специально подготовленный GPT или открыть общую беседу. В настольной версии ChatGPT на Electron всплывающее окно появлялось без дополнительного нажатия или подтверждения. Через этот канал злоумышленник мог получить историю сообщений пользователя и переслать её на свой сервер, причём всё происходило без единого предупреждения.

Исследователи продемонстрировали и дальнейшее развитие атаки: вредоносный код позволял манипулировать основным окном приложения, вплоть до принудительного выхода жертвы из учётной записи. Кроме того, злоумышленник мог показать поддельное окно обновления программы со значком ChatGPT и предложить скачать вредоносный файл — правда, для загрузки требовался осознанный переход пользователя по ссылке.

Чем опасен обход ChatGPT для российских компаний

Российские организации всё чаще экспериментируют с большими языковыми моделями для ускорения разработки, аналитики и подготовки документов. Если сотрудник обсуждает с ИИ-помощником внутренние регламенты, фрагменты кода или черновики служебных записок, утечка такой переписки может раскрыть корпоративную логику принятия решений. Настольное приложение на Electron — стандартный вариант работы для пользователей Windows и macOS, поэтому сценарий с автоматическим появлением вредоносного окна выглядит вполне реалистично и не требует высокой квалификации атакующего. Ситуация усугубляется тем, что Lockdown Mode позиционируется как барьер для самых чувствительных диалогов, и его обход создаёт ложное ощущение защищённости.

Как исключить угрозу эксплуатации Lockdown Mode

OpenAI устранила техническую возможность атаки: 18 сентября компания уведомила исследователей, что убрала из песочницы разрешения, позволявшие открывать небезопасные всплывающие окна. Повторная проверка подтвердила, что описанный метод больше не работает. Тем не менее, компаниям стоит пересмотреть регламент использования публичных ИИ-сервисов: ограничить круг сотрудников, чьи диалоги могут содержать значимую информацию, и перевести работу с конфиденциальными данными в изолированные контуры. Полезной практикой остаётся регулярное обновление настольного клиента и отказ от перехода по ссылкам, встроенным в диалоги с непроверенными ассистентами.