Изследователи по киберсигурност разкриха подробности за вече коригирана уязвимост, която може да бъде използвана за заобикаляне на защитите на режима Lockdown Mode в OpenAI ChatGPT.

Lockdown Mode беше въведен от компанията за изкуствен интелект (ИИ) през юни 2026 г. като опционална настройка, която да намалява риска от изтичане на данни вследствие на инжектиране на подсказки (prompt injection).

„Пропускът може да позволи скрита кражба на данни от чатове, фишинг и доставяне на злонамерен софтуер, включително изтичане на данни без никакво взаимодействие от страна на потребителя (zero-click) в десктоп приложението на ChatGPT“, заяви Ели Смаджа, ръководител на изследователската дейност в Check Point, в доклад, споделен с The Hacker News.

Проблемът произтича от HTML прегледите на страници в кодовите блокове на ChatGPT, които позволяват HTML съдържанието да бъде визуализирано директно в приложението. Тъй като изпълнението на HTML и JavaScript, предоставени от потребителя, само по себе си може да породи рискове за сигурността, съдържанието се поставя в изолирана среда, за да няма достъп до данни на приложението, като бисквитки и локално хранилище.

Изолираната среда също така не позволява на визуализираното съдържание да комуникира с външни ресурси без съгласието на потребителя. Lockdown Mode действа като защитна бариера, която намалява риска от изтичане на данни, като ограничава изходящите мрежови заявки, които биха могли да се използват за пренасяне на чувствителна информация към инфраструктура, контролирана от атакуващия.

Check Point обаче откриха вратичка в начина, по който се обработват изскачащите прозорци по време на HTML прегледите, която дава възможност да се излезе извън границите на изолираната среда и да се заобиколи Lockdown Mode.

„HTML прегледът използваше вложени рамки в изолирана среда и макар ChatGPT да прихващаше преките опити за отваряне на нови прозорци, базовите разрешения на изолираната среда все пак позволяваха изскачащи прозорци и им даваха възможност да излязат извън нея“, обясни Смаджа.

„Чрез създаването на още една вложена рамка в визуализираната страница е било възможно да се получи достъп до непроменена функция за изскачащи прозорци и да се заобиколят ограниченията, наложени на оригиналния HTML преглед. Съдържанието, отворено по този път, вече не е подлежало на същите ограничения на изолираната среда, което осигурява начин за заобикаляне на защитите на Lockdown Mode.“

След като ограниченията бъдат заобиколени, авторът на заплахата може да експлоатира уязвимостта, за да изнесе данни и съобщения от чатове или да достави зловреден код чрез специално изработена подсказка, злонамерен GPT или споделен чат.

Освен това, тъй като атакуващият има пълен контрол върху съдържанието, показвано в изскачащия прозорец, то може да бъде използвано за визуализиране на убедителни уловки за социално инженерство, като например фалшиво обновяване на ChatGPT, и да подмами жертвата да изтегли злонамерен софтуер, като я убеди да щракне върху връзка.

Въпреки това проблемът не се ограничава само до десктоп средата, базирана на Electron, което показва как слабости извън обхвата на самия ИИ модел могат да подкопаят контролите за сигурност на ИИ. След отговорно разкриване уязвимостта беше отстранена от OpenAI на 18 септември 2026 г.

„Lockdown Mode беше създаден специално за да намали възможността данни да напускат даден разговор чрез потенциално злонамерени изходящи заявки, но слабост в друга функция на приложението осигури алтернативен път около тази граница на сигурност“, каза Смаджа.

„Откритието поставя по-широк въпрос за корпоративната сигурност: контролите за сигурност на ИИ са толкова силни, колкото е силна цялата среда на приложението около тях.“

Разкритието идва седмица, след като Parameter Labs описаха начин за заобикаляне на изолираната среда и политиката за сигурност на съдържанието (CSP) на ChatGPT и за превземане на ничий акаунт само чрез изпращане на публична връзка за споделяне на ChatGPT, контролирана от атакуващия, и подканяне на жертвата да щракне веднъж върху HTML прегледа. Ако HTML блокът е маркиран като подлежащ на преглед, той се отваря автоматично.

„Атакуващ може да създаде злонамерен разговор, да го публикува чрез обичайната функция за споделяне на ChatGPT и да изпрати връзката на друг потребител“, заяви изследователят по сигурността Мукул Гоял. „Когато жертвата е отворела споделения разговор, зловредният код се е изпълнявал като chatgpt[.]com с достъп до удостоверената уеб сесия на жертвата.“

По-рано през септември Check Point демонстрираха също скрит команден канал между различни акаунти, чрез който атакуващ може да използва сесията на жертвата в ChatGPT, за да изпълнява скрити задачи с наличните в тази сесия инструменти, данни и свързани приложения, успоредно с видимия разговор.

„Жертвата може да получи нормален отговор на видимата си заявка, докато задачата на атакуващия се обработва отделно, а резултатът ѝ се връща между акаунтите“, заявиха от Check Point. „Каналът е работел чрез среди за изпълнение на код, принадлежащи на различни акаунти в ChatGPT.“

„Скритата инструкция може да бъде доставена чрез злонамерена подсказка, споделен разговор в ChatGPT или персонализиран GPT. След като е налична в контекста на разговора на жертвата, обикновено съобщение може да задейства контролираната от атакуващия задача, без тя да бъде разкрита във видимия отговор.“

Констатациите съвпадат с откриването на редица слабости в сигурността на различни инструменти и услуги, задвижвани от ИИ, през последните няколко месеца, чрез които те могат да бъдат подмамени да разкриват тайни или да извършват неоторизирани действия -

  • Атака, наречена SkillJacking, която превзема зависимостите, използвани от уменията (skills) – хранилища, пакети, домейни или облачни приложения – и компрометира всеки агент, който ги инсталира.
  • Набор от уязвимости във вградените браузъри на пет асистента за програмиране с изкуствен интелект – Cursor, GitHub Copilot, OpenAI Codex, Microsoft Visual Studio Code и Anthropic Claude Desktop, които могат да бъдат използвани за изпълнение на код на хост машината, четене и кражба на файлове или подправяне на адресните ленти на уеб браузъра. Проблемите са с кодово име Embrace, съкращение от EMbedded BRowser - Arbitrary Code Execution, Arbitrary Content Exfiltration, and Arbitrary Context Emulation (вграден браузър – произволно изпълнение на код, произволно извличане на съдържание и произволна емулация на контекст).
  • Техника, наречена Repeat-After-Me, която е насочена към LangChain LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents и CrewAI и ги подлъгва да изпълняват извиквания на инструменти чрез „привидно безобидна заявка за повторение на текст“.
  • Уязвимост, наречена AgentCorruption, която може да позволи на атакуващ да взаимодейства с изложен на достъп AI агент, работещ на AWS Bedrock AgentCore, и да използва техники за инжектиране на промпт (prompt injection), за да повлияе на агента и да извлече неговите IMDS идентификационни данни, а след това да ги използва за достъп до други агенти, четене на лични разговори, кражба на идентификационни данни за свързани инструменти и манипулиране на поведението на агентите.
  • Уязвимост в SpaceXSI Grok и GitHub Copilot CLI, наречена Cryptographic Context Injection, която може да бъде използвана за четене на локалните файлове на разработчик и изпращането им към външен сървър от една-единствена уеб страница чрез непряко инжектиране на промпт, което скрива злонамерени инструкции в AES-криптиран текст.
  • Zero-click уязвимост, наречена SalesBleed, която може да бъде използвана за извличане на чувствителни данни за акаунти от Salesforce Agentforce чрез използване на формуляра Web-to-Lead за внедряване на зловреден код за непряко инжектиране на промпт.
  • Демонстрационна атака (PoC), наречена not-a-mused, която позволява на непривилегирован локален атакуващ (или процес) да пренасочи трафика за диктуване на Meta Muse и да злоупотреби с разрешенията, предоставени на AI асистента, за извършване на произволни действия.
  • Zero-click уязвимост, наречена Plugin4Shell, която може да бъде използвана за провеждане на атака по веригата на доставки на изкуствен интелект чрез тихо заменяне на доверен плъгин със злонамерен, като се заобикаля фиксирането чрез SHA. „Агентът изтегля точния commit, който е фиксиран от пазара (marketplace), но никога не проверява дали наистина е стигнал до него, така че атакуващ, който контролира хранилището на плъгина, кара изтеглянето да сочи към злонамерен код, докато фиксирането изглежда спазено“, заяви Air Security. „Резултатът е zero-click отдалечено изпълнение на код в Claude Code, Codex, GitHub Copilot и Gemini CLI.“
  • Атака, наречена BragJack, която може да бъде използвана за превземане на AI агентите, вградени в браузъри като Google Chrome, Microsoft Edge, Opera Neon, Perplexity Comet и Anthropic Claude in Chrome, чрез използване на вече инсталирано злонамерено разширение на браузъра в комбинация с принуждаване чрез промпт (prompt forcing).
  • Поведенчески ефект, наречен sampling drift, който показва как добавянето на невидим воден знак към изхода на голям езиков модел (LLM) може неволно да промени поведението на модела, включително инструментите, които AI агентът извиква, и вероятно да отслаби отказите, свързани със сигурността. „Водният знак променя поведението при отказ при директни вредни заявки, но ефектът е по-изразен, когато същите заявки са съчетани с техниката за инжектиране на промпт“, заяви Lasso Security. „При няколко модела водният знак прави модела по-склонен да отговаря на вредни заявки, на които иначе би отказал.“
  • Набор от атаки, които експлоатират AI агенти за обслужване на клиенти, за да съставят и изпращат фишинг имейли, да извикват инструменти и да заобикалят защитите с многофакторно удостоверяване (MFA).
  • Техника за съставяне на промпт, наречена PuzzleMask, която заобикаля бързите проверки на политики, базирани на LLM и извършвани от олекотен модел-пазач (gatekeeper), като поставя злонамерената инструкция в специално изработена прозаична обвивка, след което зловредният код се обработва от по-мощен целеви модел, за да задейства злонамерени действия.
  • Техника, наречена Workflow Identity Hijacking, която позволява на атакуващ да заобиколи стандартните контроли, като изпраща обикновени, безобидни заявки през входна точка без удостоверяване, в резултат на което корпоративният AI конвейер обработва заявката и изпълнява действието по предназначение. „Основният проблем е, че заявителят не е имал право да прави тази заявка“, заяви Noma Security. „Когато AI работен процес извършва последващи действия, той ги изпълнява с високопривилегировани служебни акаунти или API ключове на разработчици, вместо да прилага разрешенията на външния потребител. В резултат AI работните процеси се превръщат в неудостоверени посредници за привилегировани действия и тиха ексфилтрация на данни.“
  • Zero-click клас уязвимости, наречен PleaseFix, който може да бъде използван за превземане на AI агенти, вградени в агентни браузъри, чрез поставяне на злонамерени инструкции в имейли, покани в календар или уеб страници, и експлоатиране на техника, наречена колизия на намеренията (intent collision), за да се накара агентът да „действа от името на атакуващия, използвайки собствената самоличност, разрешения и достъп на потребителя“.
  • Набор от уязвимости, засягащи AI агенти за програмиране на Anthropic, Google и OpenAI, които могат да бъдат използвани, за да бъдат подлъгани да предадат тайните на жертвата, да се постигне трайно отравяне на инструкциите чрез промяна на файла AGENTS.md и да бъдат компрометирани софтуерни издания чрез инжектиране на промпт, поставено в недоверени потребителски входни данни, като например GitHub issues.

„Агентите се превръщат в стандартна инфраструктура в CI/CD, съобщенията, триажа, реагирането при инциденти и поддръжката“, заяви Novee Security. „Колкото по-автономни стават, толкова повече средата за изпълнение решава от ваше име кое е безопасно и толкова повече недоверени входни данни достигат до реално изпълнение.“