Le mode verrouillage de ChatGPT contourné via une évasion du bac à sable de l'aperçu HTML

Les chercheurs en cybersécurité de Check Point ont révélé une vulnérabilité critique dans ChatGPT d'OpenAI, permettant aux attaquants de contourner les protections du mode Verrouillage de l'application. Cette faille, présente dans l'application de bureau, permettait une exfiltration silencieuse de données et la livraison de logiciels malveillants sans nécessiter aucune interaction directe de la victime. OpenAI a résolu le problème grâce à un correctif publié le 18 septembre 2026.

Ce qui s'est passé

Le mode Verrouillage a été introduit par OpenAI en juin 2026 comme un paramètre de sécurité optionnel conçu pour minimiser le risque d'exfiltration de données causé par les injections de prompts. Il agit comme une barrière en limitant les requêtes réseau sortantes, empêchant ainsi le transfert d'informations sensibles vers des infrastructures contrôlées par des attaquants. Cependant, les chercheurs de Check Point ont découvert une brèche dans la manière dont l'application gère les aperçus de pages HTML au sein des blocs de code, neutralisant efficacement ces protections.

La vulnérabilité provient de la façon dont ChatGPT affiche le contenu HTML dans son interface. Bien que l'application place ce contenu dans un bac à sable (sandbox) pour l'empêcher d'accéder aux cookies ou au stockage local, l'implémentation contenait une faiblesse concernant les fenêtres contextuelles (popups). En exploitant des cadres imbriqués placés dans un bac à sable, un attaquant pouvait échapper aux restrictions du sandbox. Cette voie d'évasion permettait au contenu malveillant de contourner entièrement le mode Verrouillage, facilitant le vol de messages de chat et la livraison de logiciels malveillants via des prompts élaborés ou des chats partagés.

Cette divulgation fait suite à une série de découvertes de sécurité connexes dans l'écosystème de l'IA. Une semaine plus tôt, Parameter Labs avait révélé une méthode pour contourner le sandbox et la politique de sécurité du contenu de ChatGPT en envoyant un lien de partage malveillant. De plus, Check Point avait précédemment démontré un canal de commande inter-comptes furtif permettant aux attaquants d'exécuter des tâches cachées en utilisant la session d'une victime. Ces incidents mettent en évidence une tendance croissante où les faiblesses de l'environnement applicatif périphérique compromettent les contrôles de sécurité spécifiques à l'IA.

Comment cela fonctionne

Le cœur de la vulnérabilité réside dans la gestion des aperçus HTML. Lorsque ChatGPT affiche du HTML fourni par l'utilisateur, il utilise des cadres imbriqués placés dans un bac à sable pour isoler le contenu. L'application intercepte les tentatives directes d'ouverture de nouvelles fenêtres depuis ces cadres afin de maintenir la sécurité. Cependant, les autorisations sous-jacentes du sandbox permettaient toujours la création de popups. Les chercheurs ont constaté qu'en créant un autre cadre imbriqué dans la page affichée, ils pouvaient accéder à une fonction popup non modifiée.

Cette technique a permis à l'attaquant de contourner les restrictions imposées à l'aperçu HTML original. Le contenu ouvert via cette nouvelle route n'était plus soumis aux mêmes limitations du sandbox, offrant un chemin direct pour contourner le mode Verrouillage. Une fois les restrictions levées, l'attaquant prenait le contrôle total du contenu affiché dans la fenêtre popup. Cela pouvait être utilisé pour générer des appâts d'ingénierie sociale convaincants, tels que de fausses notifications de mise à jour, incitant les utilisateurs à télécharger des logiciels malveillants ou à révéler leurs identifiants.

Détails clés

• La vulnérabilité permettait une exfiltration de données sans clic (zero-click) dans l'application de bureau ChatGPT.
• Le mode Verrouillage, introduit en juin 2026, a été contourné en raison d'une faille dans la gestion des aperçus HTML.
• L'exploit utilisait des cadres imbriqués placés dans un bac à sable pour accéder à une fonction popup non modifiée.
• OpenAI a corrigé la vulnérabilité le 18 septembre 2026, suite à une divulgation responsable.
• Les attaquants pouvaient utiliser la faille pour livrer des logiciels malveillants via de faux appâts de mise à jour ChatGPT.
• Le problème souligne que les contrôles de sécurité de l'IA dépendent de l'environnement applicatif global.

Pourquoi c'est important

Pour les développeurs et les responsables techniques construisant des produits avec l'IA, cet incident sert de rappel sévère que la sécurité au niveau du modèle ne suffit pas. Les contrôles de sécurité comme le mode Verrouillage ne sont aussi forts que la couche applicative qui les entoure. Les faiblesses dans les technologies web standard, telles que le rendu HTML et la gestion des sandboxes, peuvent créer des canaux latéraux qui contournent les garde-fous sophistiqués de l'IA. Cela signifie que sécuriser un produit basé sur l'IA nécessite une attention rigoureuse aux pratiques traditionnelles de sécurité applicative, y compris la validation des entrées et l'intégrité du sandbox.

L'implication plus large est que les agents et assistants IA deviennent des environnements logiciels complexes dotés de leurs propres surfaces d'attaque. Comme observé avec d'autres vulnérabilités récentes telles que SkillJacking et Embrace, les attaquants ciblent de plus en plus les points d'intégration entre les modèles d'IA et les outils externes. Les équipes doivent considérer l'injection de prompt comme une menace persistante et concevoir leurs systèmes pour qu'ils échouent en toute sécurité lorsque des entrées inattendues se produisent. Se fier uniquement aux fonctionnalités de sécurité du fournisseur d'IA sans auditer le comportement de l'application hôte constitue un risque significatif.

Ce que vous pouvez faire

• Assurez-vous que votre application de bureau ChatGPT est mise à jour vers la dernière version postérieure au 18 septembre 2026.
• Traitez tous les aperçus HTML et liens de chat partagés provenant de sources non fiables comme potentiellement malveillants.
• Auditez vos propres applications IA pour détecter des vecteurs d'évasion de sandbox similaires dans les composants de rendu HTML.
• Implémentez des politiques de sécurité de contenu (CSP) strictes pour limiter les requêtes sortantes issues du contenu intégré.
• Surveillez tout trafic réseau sortant inhabituel provenant des environnements d'agents IA comme signe d'exfiltration.
• Sensibilisez les utilisateurs aux risques liés au clic sur des liens ou au téléchargement de fichiers provenant d'aperçus générés par l'IA.