Tietoturvayhtiö Check Pointin tutkimusyksikkö Check Point Research julkaisi 5. marraskuuta 2026 raportin siitä, miten ChatGPT:n Lockdown-tilan suojaukset pystyi ohittamaan toisen ominaisuuden kautta. Tutkija Alexey Bukhteyevin raportin mukaan OpenAI ilmoitti Check Pointille 18. syyskuuta korjanneensa aukon. Check Point testasi tekniikan uudelleen ja totesi, ettei se enää toimi.

Lockdown-tila on kirjautuneille käyttäjille tarkoitettu valinnainen asetus. Sen tehtävä on pienentää riskiä, että kehoteinjektio saa ChatGPT:n tai sen työkalun lähettämään arkaluonteista tietoa ulkopuolelle. Kehoteinjektiossa malli saa sisältöä, jonka ohjeita se noudattaa käyttäjän sijaan. Siksi tila katkaisee ulospäin vieviä reittejä. Verkkohaku rajautuu välimuistissa olevaan sisältöön, eikä internetin kuvia ladata. Käytöstä poistuvat Deep Research, Agent Mode, ulkoisten palvelujen liittimet ja tiedostojen lataukset. The Hacker Newsin mukaan OpenAI otti tilan käyttöön kesäkuussa 2026.

Näin suojaus kierrettiin

OpenAI lisäsi helmikuussa 2026 koodilohkoihin esikatselun, joka näyttää HTML-sivun suoraan ChatGPT:ssä. ChatGPT ajaa sivun hiekkalaatikossa kahden sisäkkäisen iframe-kehyksen sisällä. Iframe on sivuun upotettu erillinen näkymä. Näin esikatseltava sivu ei pääse käsiksi ChatGPT:n evästeisiin tai muihin tietoihin. Kun sivu yrittää ottaa yhteyttä ulkoiseen osoitteeseen tai avata ponnahdusikkunan, ChatGPT kysyy ensin käyttäjältä luvan.

Check Pointin mukaan lupakysely perustui siihen, että ChatGPT oli korvannut sivun window.open-funktion omalla versiollaan. Kehysten hiekkalaatikkoasetukset kuitenkin sallivat ponnahdusikkunat ja niiden irtautumisen hiekkalaatikosta. Luomalla sisäänsä vielä yhden kehyksen sivu sai käyttöönsä alkuperäisen funktion. Avautuneessa ikkunassa hyökkääjän koodi toimi ilman hiekkalaatikon rajoituksia.

Mitä hyökkääjä pystyi tekemään

Hyökkäyksen pystyi käynnistämään haitallisella kehotteella, haitallisella GPT:llä tai jaetulla keskustelulla. Check Pointin mukaan reitin kautta pystyi vuotamaan koko keskusteluhistorian ja ChatGPT:hen ladatut tiedostot, näyttämään tietojenkalasteluikkunoita ja levittämään haittaohjelmaa esimerkiksi valepäivityksenä. Ikkunassa näkyi ChatGPT:n kuvake ja hyökkääjän valitsema otsikko.

Selaimessa uhrin piti napsauttaa esikatselua, mutta sen jälkeen tiedosto saattoi latautua automaattisesti. Jaettua keskustelua käytettäessä uhrilla ei tarvinnut olla edes ChatGPT-tiliä. Electron-pohjaisessa ChatGPT Classic -sovelluksessa ikkuna avautui Check Pointin mukaan ilman napsautusta, joten vuotoon riitti pelkkä keskustelu. Sovelluksessa hyökkääjä pystyi myös kirjaamaan käyttäjän ulos ja houkuttelemaan tämän kirjautumaan hyökkääjän sivulle.

Korjauksessa OpenAI poisti ulommasta esikatselukehyksestä asetukset, jotka sallivat ponnahdusikkunat. Tieto korjauksesta perustuu OpenAI:n ilmoitukseen ja Check Pointin uudelleentestiin, ja The Hacker News toistaa sen.

Check Pointin tutkimusjohtaja Eli Smadja totesi The Hacker Newsille jaetussa raportissa: ”Tekoälyn tietoturvasuojaukset ovat vain yhtä vahvoja kuin niitä ympäröivä laajempi sovellusympäristö.”

The Hacker Newsin mukaan Parameter Labs kuvasi viikkoa aiemmin toisen HTML-esikatseluun liittyvän aukon. Sen kautta julkisen jakolinkin avaaminen saattoi antaa hyökkääjälle pääsyn uhrin kirjautuneeseen istuntoon.