ChatGPT Lockdown Mode durch HTML-Vorschau-Sandbox-Flucht umgangen

Cybersecurity-Forscher bei Check Point haben eine kritische Schwachstelle in OpenAIs ChatGPT offengelegt, die es Angreifern ermöglichte, die Schutzmechanismen des Lockdown Modes der Anwendung zu umgehen. Der Fehler, der in der Desktop-Anwendung vorhanden war, erlaubte stille Datenexfiltration und Malware-Zustellung, ohne dass eine direkte Interaktion des Opfers erforderlich war. OpenAI behob das Problem mit einem Patch, der am 18. September 2026 veröffentlicht wurde.

Was passiert ist

Der Lockdown Mode wurde von OpenAI im Juni 2026 als optionale Sicherheitseinstellung eingeführt, um das Risiko von Datenexfiltration durch Prompt-Injections zu minimieren. Er fungiert als Barriere, indem er ausgehende Netzwerkrequests begrenzt und verhindert, dass sensible Informationen an angreiferkontrollierte Infrastruktur übertragen werden. Forscher von Check Point entdeckten jedoch eine Lücke in der Handhabung von HTML-Seitenvorschauen innerhalb von Codeblöcken, wodurch diese Schutzmaßnahmen effektiv neutralisiert wurden.

Die Schwachstelle resultiert aus der Art und Weise, wie ChatGPT HTML-Inhalte innerhalb seiner Oberfläche rendert. Zwar platziert die Anwendung diese Inhalte in einer Sandbox, um den Zugriff auf Cookies oder lokalen Speicher zu verhindern, doch die Implementierung wies eine Schwäche bezüglich Popup-Fenstern auf. Durch Ausnutzung verschachtelter sandboxed Frames konnten Angreifer die Sandbox-Einschränkungen umgehen. Dieser Fluchtweg ermöglichte es bösartigen Inhalten, den Lockdown Mode vollständig zu umgehen, was den Diebstahl von Chat-Nachrichten und die Zustellung von Malware über präparierte Prompts oder geteilte Chats erlaubte.

Diese Offenlegung folgt einer Reihe verwandter Sicherheitsfunde im KI-Ökosystem. Nur eine Woche zuvor hatte Parameter Labs eine Methode enthüllt, um die Sandbox und die Content Security Policy von ChatGPT durch das Senden eines böswilligen Freigabelinks zu umgehen. Zudem hatte Check Point zuvor einen verdeckten Cross-Account-Befehlskanal demonstriert, der es Angreifern ermöglichte, versteckte Aufgaben unter Verwendung der Sitzung eines Opfers auszuführen. Diese Vorfälle verdeutlichen ein wachsendes Muster, bei dem Schwächen in der umgebenden Anwendungsumgebung KI-spezifische Sicherheitskontrollen untergraben.

Wie es funktioniert

Der Kern der Schwachstelle liegt in der Handhabung von HTML-Vorschauen. Wenn ChatGPT vom Benutzer bereitgestelltes HTML rendert, verwendet es verschachtelte sandboxed Frames, um die Inhalte zu isolieren. Die Anwendung fängt direkte Versuche ab, neue Fenster aus diesen Frames zu öffnen, um die Sicherheit zu gewährleisten. Die zugrunde liegenden Sandbox-Berechtigungen erlaubten jedoch weiterhin die Erstellung von Popups. Forscher fanden heraus, dass sie durch das Erstellen eines weiteren verschachtelten Frames innerhalb der gerenderten Seite auf eine unmodifizierte Popup-Funktion zugreifen konnten.

Diese Technik ermöglichte es dem Angreifer, die Einschränkungen zu umgehen, die für die ursprüngliche HTML-Vorschau galten. Inhalte, die über diesen neuen Weg geöffnet wurden, unterlagen nicht mehr denselben Sandbox-Limitierungen, was einen direkten Pfad zur Umgehung des Lockdown Modes bot. Sobald die Einschränkungen aufgehoben waren, erhielt der Angreifer vollständige Kontrolle über die im Popup-Fenster angezeigten Inhalte. Dies konnte genutzt werden, um überzeugende Social-Engineering-Köder darzustellen, wie etwa gefälschte Update-Benachrichtigungen, um Benutzer dazu zu bringen, Malware herunterzuladen oder Zugangsdaten preiszugeben.

Wichtige Details

• Die Schwachstelle ermöglichte Zero-Click-Datenexfiltration in der ChatGPT-Desktop-Anwendung.
• Der im Juni 2026 eingeführte Lockdown Mode wurde aufgrund eines Fehlers in der Handhabung der HTML-Vorschau umgangen.
• Der Exploit nutzte verschachtelte sandboxed Frames, um auf eine unmodifizierte Popup-Funktion zuzugreifen.
• OpenAI patchte die Schwachstelle am 18. September 2026 nach verantwortungsvoller Offenlegung.
• Angreifer konnten den Fehler nutzen, um Malware über gefälschte ChatGPT-Update-Köder zuzustellen.
• Das Problem zeigt, dass KI-Sicherheitskontrollen von der breiteren Anwendungsumgebung abhängen.

Warum es wichtig ist

Für Entwickler und Engineering-Leads, die Produkte mit KI bauen, dient dieser Vorfall als deutliche Warnung, dass Modellsicherheit allein nicht ausreicht. Sicherheitskontrollen wie der Lockdown Mode sind nur so stark wie die Anwendungsschicht, die sie umgibt. Schwächen in Standard-Webtechnologien, wie HTML-Rendering und Sandbox-Management, können Side-Channels erzeugen, die ausgefeilte KI-Schutzmaßnahmen umgehen. Das bedeutet, dass die Absicherung eines KI-Produkts strenge Aufmerksamkeit für traditionelle Anwendungspraktiken erfordert, einschließlich Eingabevalidierung und Sandbox-Integrität.

Die breitere Implikation ist, dass KI-Agenten und Assistenten zu komplexen Softwareumgebungen mit eigenen Angriffsflächen werden. Wie bei anderen kürzlichen Schwachstellen wie SkillJacking und Embrace zu sehen ist, zielen Angreifer zunehmend auf die Integrationspunkte zwischen KI-Modellen und externen Tools ab. Teams müssen davon ausgehen, dass Prompt Injection eine persistente Bedrohung ist, und ihre Systeme so gestalten, dass sie bei unerwarteten Eingaben sicher scheitern. Sich ausschließlich auf die Sicherheitsfunktionen des KI-Anbieters zu verlassen, ohne das Verhalten der Host-Anwendung zu prüfen, stellt ein erhebliches Risiko dar.

Was Sie tun können

• Stellen Sie sicher, dass Ihre ChatGPT-Desktop-Anwendung auf die neueste Version nach dem 18. September 2026 aktualisiert ist.
• Betrachten Sie alle HTML-Vorschauen und geteilten Chat-Links aus nicht vertrauenswürdigen Quellen als potenziell schädlich.
• Prüfen Sie Ihre eigenen KI-Anwendungen auf ähnliche Sandbox-Fluchtvektoren in HTML-Rendering-Komponenten.
• Implementieren Sie strenge Content Security Policies (CSP), um ausgehende Requests von eingebetteten Inhalten zu begrenzen.
• Überwachen Sie ungewöhnliche ausgehende Netzwerktraffic aus KI-Agenten-Umgebungen als Zeichen für Exfiltration.
• Schulen Sie Benutzer über die Risiken beim Klicken auf Links oder Herunterladen von Dateien aus KI-generierten Vorschauen.