Check Point Research är forskningsenheten vid säkerhetsföretaget Check Point. Den 5 november 2026 publicerade enheten en rapport om hur skydden i ChatGPT:s Lockdown Mode kunde kringgås via en annan funktion. Rapporten är skriven av forskaren Alexey Bukhteyev. Enligt den meddelade OpenAI Check Point den 18 september att hålet var åtgärdat. Check Point testade tekniken på nytt och konstaterade att den inte längre fungerar.

Lockdown Mode är en frivillig inställning för inloggade användare. Den ska minska risken att en promptinjektion får ChatGPT eller dess verktyg att skicka känslig information utanför tjänsten. Vid en promptinjektion får modellen innehåll vars instruktioner den följer i stället för användarens. Därför stänger läget vägar ut ur tjänsten. Webbsökningen begränsas till innehåll i cache, och bilder från internet laddas inte in. Deep Research, Agent Mode, kopplingar till externa tjänster och filnedladdningar stängs av. OpenAI införde läget i juni 2026, uppger The Hacker News.

Så kringgicks skyddet

I februari 2026 lade OpenAI till en förhandsvisning i kodblock som visar en HTML-sida direkt i ChatGPT. ChatGPT kör sidan i en sandlåda inuti två nästlade iframe-ramar. En iframe är en separat vy som är inbäddad i en sida. På så sätt kommer den förhandsvisade sidan inte åt ChatGPT:s cookies eller andra uppgifter. När sidan försöker kontakta en extern adress eller öppna ett popup-fönster frågar ChatGPT först användaren om lov.

Enligt Check Point byggde tillståndsfrågan på att ChatGPT hade ersatt sidans window.open-funktion med en egen version. Ramarnas sandlådeinställningar tillät dock popup-fönster och lät dem bryta sig loss ur sandlådan. Genom att skapa ytterligare en ram inuti sig själv fick sidan tillgång till originalfunktionen. I fönstret som öppnades kördes angriparens kod utan sandlådans begränsningar.

Vad angriparen kunde göra

Attacken kunde startas med en skadlig prompt, en skadlig GPT eller en delad chatt. Via den vägen gick det att läcka hela chatthistoriken och filer som laddats upp till ChatGPT, visa nätfiskefönster och sprida skadlig kod, till exempel som en falsk uppdatering, uppger Check Point. Fönstret visade ChatGPT:s ikon och en rubrik som angriparen valt.

I webbläsaren behövde offret klicka på förhandsvisningen, men därefter kunde en fil laddas ned automatiskt. Vid en delad chatt behövde offret inte ens ha ett ChatGPT-konto. I den Electron-baserade appen ChatGPT Classic öppnades fönstret utan klick, enligt Check Point. Därför räckte det med själva chatten för att data skulle läcka. I appen kunde angriparen också logga ut användaren och locka hen att logga in på angriparens sida.

I åtgärden tog OpenAI bort de inställningar i den yttre förhandsvisningsramen som tillät popup-fönster. Uppgiften om åtgärden bygger på OpenAI:s meddelande och Check Points nya test, och The Hacker News återger den.

Eli Smadja, forskningschef på Check Point, konstaterade i rapporten som delades med The Hacker News: ”Säkerhetskontroller för AI är bara så starka som den bredare applikationsmiljön omkring dem.”

Parameter Labs beskrev en vecka tidigare ett annat hål kopplat till HTML-förhandsvisningen, skriver The Hacker News. Via det hålet kunde öppnandet av en offentlig delningslänk ge en angripare tillgång till offrets inloggade session.