Se elude el modo de bloqueo de ChatGPT mediante una fuga del sandbox de la vista previa HTML

Investigadores de ciberseguridad de Check Point han revelado una vulnerabilidad crítica en ChatGPT de OpenAI que permitía a los atacantes eludir las protecciones del modo de bloqueo de la aplicación. El fallo, presente en la aplicación de escritorio, habilitaba la exfiltración silenciosa de datos y la entrega de malware sin requerir ninguna interacción directa por parte de la víctima. OpenAI abordó el problema con un parche publicado el 18 de septiembre de 2026.

Qué ocurrió

OpenAI introdujo el modo de bloqueo en junio de 2026 como una configuración de seguridad opcional diseñada para minimizar el riesgo de exfiltración de datos causada por inyecciones de prompts. Actúa como una barrera limitando las solicitudes de red salientes, evitando que información sensible sea transferida a infraestructuras controladas por atacantes. Sin embargo, los investigadores de Check Point descubrieron una brecha en cómo la aplicación maneja las vistas previas de páginas HTML dentro de bloques de código, neutralizando efectivamente estas protecciones.

La vulnerabilidad surge de la forma en que ChatGPT renderiza contenido HTML dentro de su interfaz. Aunque la aplicación coloca este contenido en un sandbox para impedir el acceso a cookies o almacenamiento local, la implementación contenía una debilidad respecto a las ventanas emergentes. Explotando frames anidados en sandbox, un atacante podía escapar de las restricciones del sandbox. Esta vía de escape permitía al contenido malicioso eludir completamente el modo de bloqueo, facilitando el robo de mensajes de chat y la distribución de malware mediante prompts manipulados o chats compartidos.

Esta divulgación sigue una serie de hallazgos de seguridad relacionados en el ecosistema de IA. Solo una semana antes, Parameter Labs reveló un método para eludir el sandbox y la política de seguridad de contenido de ChatGPT enviando un enlace compartido malicioso. Además, Check Point había demostrado previamente un canal de comandos encubierto entre cuentas que permitía a los atacantes ejecutar tareas ocultas utilizando la sesión de una víctima. Estos incidentes destacan un patrón creciente donde las debilidades en el entorno de la aplicación circundante socavan los controles de seguridad específicos de la IA.

Cómo funciona

El núcleo de la vulnerabilidad radica en el manejo de las vistas previas HTML. Cuando ChatGPT renderiza HTML proporcionado por el usuario, utiliza frames anidados en sandbox para aislar el contenido. La aplicación intercepta los intentos directos de abrir nuevas ventanas desde estos frames para mantener la seguridad. No obstante, los permisos subyacentes del sandbox aún permitían crear ventanas emergentes. Los investigadores descubrieron que creando otro frame anidado dentro de la página renderizada, podían acceder a una función de ventana emergente no modificada.

Esta técnica permitía al atacante eludir las restricciones impuestas a la vista previa HTML original. El contenido abierto a través de esta nueva ruta ya no estaba sujeto a las mismas limitaciones del sandbox, proporcionando un camino directo alrededor del modo de bloqueo. Una vez levantadas las restricciones, el atacante obtenía control total sobre el contenido mostrado en la ventana emergente. Esto podría usarse para renderizar señuelos convincentes de ingeniería social, como notificaciones falsas de actualización, engañando a los usuarios para que descarguen malware o revelen credenciales.

Detalles clave

• La vulnerabilidad permitía la exfiltración de datos sin clics (zero-click) en la aplicación de escritorio de ChatGPT.
• El modo de bloqueo, introducido en junio de 2026, fue eludido debido a un fallo en el manejo de la vista previa HTML.
• El exploit utilizaba frames anidados en sandbox para acceder a una función de ventana emergente no modificada.
• OpenAI parcheó la vulnerabilidad el 18 de septiembre de 2026, tras una divulgación responsable.
• Los atacantes podían usar el fallo para distribuir malware mediante señuelos falsos de actualización de ChatGPT.
• El problema destaca que los controles de seguridad de la IA dependen del entorno de aplicación más amplio.

Por qué importa

Para desarrolladores y líderes de ingeniería que construyen productos con IA, este incidente sirve como un claro recordatorio de que la seguridad a nivel de modelo no es suficiente. Controles de seguridad como el modo de bloqueo son tan fuertes como la capa de aplicación que los rodea. Las debilidades en tecnologías web estándar, como el renderizado HTML y la gestión de sandboxes, pueden crear canales laterales que eludan sofisticadas salvaguardas de IA. Esto significa que asegurar un producto de IA requiere una atención rigurosa a las prácticas tradicionales de seguridad de aplicaciones, incluyendo la validación de entradas y la integridad del sandbox.

La implicación más amplia es que los agentes y asistentes de IA se están convirtiendo en entornos de software complejos con sus propias superficies de ataque. Como se ha visto con otras vulnerabilidades recientes como SkillJacking y Embrace, los atacantes apuntan cada vez más a los puntos de integración entre modelos de IA y herramientas externas. Los equipos deben asumir que la inyección de prompts es una amenaza persistente y diseñar sus sistemas para fallar de manera segura cuando ocurran entradas inesperadas. Confiar únicamente en las funciones de seguridad del proveedor de IA sin auditar el comportamiento de la aplicación anfitriona es un riesgo significativo.

Qué puedes hacer

• Asegúrate de que tu aplicación de escritorio de ChatGPT esté actualizada a la última versión posterior al 18 de septiembre de 2026.
• Trata todas las vistas previas HTML y enlaces de chats compartidos de fuentes no confiables como potencialmente maliciosos.
• Audita tus propias aplicaciones de IA en busca de vectores similares de escape de sandbox en componentes de renderizado HTML.
• Implementa políticas estrictas de seguridad de contenido (CSP) para limitar las solicitudes salientes de contenido incrustado.
• Monitoriza tráfico de red saliente inusual desde entornos de agentes de IA como señal de exfiltración.
• Educa a los usuarios sobre los riesgos de hacer clic en enlaces o descargar archivos de vistas previas generadas por IA.