- 该漏洞绕过了ChatGPT锁定模式，并可秘密窃取聊天数据。
- 在ChatGPT Classic中，仅进行对话就可能触发静默数据窃取，无需用户交互。
- Check Point Research表示，OpenAI于2026年9月18日修复了该问题，方法是从HTML预览沙箱iframe中移除两个弹窗权限。
OpenAI于2026年9月18日修复了一个ChatGPT漏洞，此前Check Point Research发现攻击者可以绕过锁定模式并秘密窃取聊天数据。
该漏洞暴露了广泛的攻击面，可能导致静默窃取完整聊天记录和上传的文件、通过钓鱼窃取凭据，以及投递恶意软件。在ChatGPT Classic中，仅进行对话就可能触发数据窃取，无需用户交互。
The Hacker News报道称，锁定模式于2026年6月推出，是一项用于降低提示注入数据窃取风险的可选设置。OpenAI表示，该设置旨在大幅降低这一风险，但不保证不会发生数据窃取。
事件经过
攻击者可以通过恶意提示词、恶意GPT或共享聊天触达该漏洞。由此产生的活动可能包括伪装成合法更新的恶意软件和凭据窃取。
锁定模式限制网络访问但会禁用功能
The Hacker News报道称，OpenAI于2026年6月推出锁定模式，是一项用于降低提示注入数据窃取风险的可选设置。ZDNET报道称，该模式限制出站网络请求，包括向互联网或外部文件服务发出的请求。
The Next Web报道称，该设置会禁用实时浏览、代理模式、深度研究、图像检索、Canvas网络连接和文件下载。TechRepublic报道称，该功能已向符合条件的个人账户和自助式企业账户开放。
PC World报道称，OpenAI承认，恶意指令可能留存在上传的文件或缓存内容中。OpenAI表示，锁定模式不保证不会发生数据窃取。
OpenAI告诉Check Point Research，其通过从外层HTML预览沙箱iframe中移除两个弹窗权限来修复该问题。研究人员随后重新测试了所述技术，并确认其已不再有效。
这一发现发生在Check Point Research早前发现ChatGPT代码执行运行时存在漏洞之后，该漏洞允许通过DNS隧道将敏感对话数据窃取到攻击者控制的服务器。
常见问题
ChatGPT锁定模式发生了什么？
Check Point Research发现了一个漏洞，允许攻击者绕过锁定模式并秘密窃取聊天数据。OpenAI于2026年9月18日修复了该漏洞。
ChatGPT漏洞可能暴露什么？
该漏洞可能导致静默窃取完整聊天记录和上传的文件、投递伪装成合法更新的恶意软件，以及窃取凭据。
ChatGPT Classic的攻击需要用户交互吗？
不需要。Check Point Research表示，在ChatGPT Classic中，仅进行对话就可能触发静默数据窃取。
OpenAI如何修复锁定模式漏洞？
OpenAI从外层HTML预览沙箱iframe中移除了allow-popups和allow-popups-to-escape-sandbox权限。Check Point Research随后确认，所述技术已不再有效。
来源
- ChatGPT Lockdown Mode Bypass: Phishing, Malware Delivery, and Silent Data Exfiltration - Check Point Research, Check Point Research原始文件
- ToFu: Exploiting and Fuzzing the LLM-Orchestrator-Tool Trust Boundary, arXiv原始文件
- Researchers Bypass ChatGPT Lockdown Mode to Exfiltrate Chats Without User Interaction, The Hacker News
- How ChatGPT's new Lockdown mode protects you from data theft (and what else it does), ZDNet
- OpenAI Expands ChatGPT Lockdown Mode to Millions of Eligible Users, TechRepublic
- OpenAI adds Lockdown Mode to ChatGPT to block data theft from prompt injection attacks, The Next Web
- ChatGPT can be hijacked without you knowing. Lockdown Mode is the fix, PC World
- OpenAI Announces Unnerving New ChatGPT Feature Named ‘Lockdown Mode’, gizmodo
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| 该漏洞暴露了广泛的攻击面，可导致静默窃取聊天记录、通过钓鱼窃取凭据以及投递恶意软件。 | Check Point Research | 已证实 |
| 在ChatGPT Classic中，攻击无需任何用户交互，因为仅进行对话就可能触发静默数据窃取。 | Check Point Research | 已证实 |
| 攻击者可以通过恶意提示词、恶意GPT或共享聊天触达该漏洞。 | Check Point Research | 已证实 |
| 该漏洞可能导致秘密窃取完整聊天记录和上传的文件、投递伪装成合法更新的恶意软件，以及窃取凭据。 | Check Point Research | 已证实 |
| Check Point Research表示，其已负责任地向OpenAI披露该漏洞。 | Check Point Research | 已证实 |
| OpenAI于2026年9月18日告诉Check Point Research，其已通过从外层HTML预览沙箱iframe中移除两个弹窗权限来修复该漏洞。 | Check Point Research | 引述 |
| Check Point Research随后重新测试了该问题，并确认所述利用技术已不再有效。 | Check Point Research | 已证实 |
| The Hacker News报道称，OpenAI在负责任披露后于2026年9月18日处理了该漏洞。 | The Hacker News | 引述 |
| The Hacker News报道称，锁定模式于2026年6月推出，是一项旨在降低提示注入数据窃取风险的可选设置。 | The Hacker News | 引述 |
| TechRepublic报道称，锁定模式已向符合条件的个人账户和自助式企业账户开放。 | TechRepublic | 引述 |
| OpenAI表示，锁定模式可大幅降低提示注入数据窃取风险，但不保证不会发生数据窃取。 | OpenAI, via TechRepublic | 引述 |
| The Next Web报道称，锁定模式可供Free、Go、Plus、Pro和自助式ChatGPT Business计划中的已登录用户使用。 | The Next Web | 引述 |
| The Next Web报道称，锁定模式会禁用实时浏览、代理模式、深度研究、图像检索、Canvas网络连接和文件下载。 | The Next Web | 引述 |
| PC World报道称，OpenAI承认，恶意指令可能留存在上传的文件或缓存内容中。 | PC World | 引述 |
| Gizmodo报道称，OpenAI已宣布锁定模式是一项新的ChatGPT功能。 | gizmodo | 引述 |
| ToFu研究评估了273个开源MCP服务器，其中包含3405个工具，并在118个服务器中验证了253个语义安全漏洞。 | arXiv | 已证实 |
| research.checkpoint.com于2026年11月5日发布了其报告。 | research.checkpoint.com | 已证实 |
未能核实
- 攻击者是否利用该ChatGPT漏洞攻击了真实用户尚未确定
- OpenAI是否为该漏洞分配了CVE尚未确定
- 有多少ChatGPT用户或对话受到影响尚未确定
- 除所述环境外，该漏洞是否影响其他ChatGPT版本尚未确定
