安全公司称绕过ChatGPT“锁定模式”获取聊天历史，OpenAI已修复漏洞
Check Point Research发现通过HTML弹窗可绕过ChatGPT的“锁定模式”，导致数据泄露风险。OpenAI已在服务端修复此漏洞，凸显了AI应用层安全环境的脆弱性。
美国网络安全公司 Check Point Research（CPR）的研究人员发现了一种绕过 OpenAI ChatGPT “锁定模式”（Lockdown Mode）的方法，该模式旨在通过限制外部连接和禁用某些功能来保护用户免受提示注入攻击。研究人员利用代码块中 HTML 预览功能的嵌套沙箱框架缺陷，成功使弹出窗口逃逸出沙箱限制，从而可能访问用户的整个聊天历史记录。
“锁定模式”原本设计用于减少敏感数据通过提示注入暴露的风险，它限制了实时网页浏览、深度研究、代理模式和文件下载等功能。然而，CPR 指出，虽然 ChatGPT 拦截了直接打开新窗口的尝试，但底层的沙箱权限仍然允许弹出窗口存在并使其能够逃逸。通过创建嵌套框架，研究人员能够访问未修改的弹出函数，绕过了对原始 HTML 预览施加的所有限制。
这一漏洞不仅可能导致数据窃取，还可能被用于部署恶意软件、钓鱼攻击或凭据盗窃。最危险的情况是所谓的“零点击”攻击，即弹出窗口无需用户交互即可出现。CPR 强调，“AI 安全控制措施只与其周围更广泛的应用环境一样强大”，这表明仅依靠模型层面的安全措施是不够的，企业必须关注应用程序、运行时和连接器等组件构成的整体攻击面。
OpenAI 在收到披露后已在服务端实施了额外的安全措施以禁用此变通方法。尽管漏洞已被修补，但此次事件再次提醒用户和组织，在使用 AI 工具处理敏感信息时，需对应用层的安全边界保持警惕，并寻求对 AI 使用情况的更多可见性。