Vượt qua Chế độ Khóa (Lockdown Mode) của ChatGPT thông qua lỗ hổng thoát khỏi sandbox xem trước HTML

Các nhà nghiên cứu an ninh mạng tại Check Point đã tiết lộ một lỗ hổng nghiêm trọng trong ChatGPT của OpenAI, cho phép kẻ tấn công vượt qua các biện pháp bảo vệ của Chế độ Khóa (Lockdown Mode). Lỗ hổng này, tồn tại trong ứng dụng dành cho máy tính để bàn, đã tạo điều kiện cho việc âm thầm đánh cắp dữ liệu và phát tán phần mềm độc hại mà không đòi hỏi bất kỳ sự tương tác trực tiếp nào từ nạn nhân. OpenAI đã khắc phục vấn đề bằng bản vá được phát hành vào ngày 18 tháng 9 năm 2026.

Chuyện gì đã xảy ra

Chế độ Khóa được OpenAI giới thiệu vào tháng 6 năm 2026 như một thiết lập bảo mật tùy chọn nhằm giảm thiểu rủi ro rò rỉ dữ liệu do các cuộc tấn chèn prompt (prompt injection). Chế độ này hoạt động như một rào chắn bằng cách hạn chế các yêu cầu mạng đi ra ngoài, ngăn chặn việc chuyển giao thông tin nhạy cảm sang hạ tầng do kẻ tấn công kiểm soát. Tuy nhiên, các nhà nghiên cứu của Check Point đã phát hiện ra một kẽ hở trong cách ứng dụng xử lý các bản xem trước trang HTML bên trong các khối mã, vô hiệu hóa hiệu quả những biện pháp bảo vệ này.

Lỗ hổng bắt nguồn từ cách ChatGPT hiển thị nội dung HTML trong giao diện của mình. Mặc dù ứng dụng đặt nội dung này vào một sandbox để ngăn nó truy cập cookie hoặc bộ nhớ cục bộ, nhưng cách triển khai lại chứa điểm yếu liên quan đến cửa sổ bật lên (popup). Bằng cách khai thác các khung hình lồng nhau được cô lập trong sandbox, kẻ tấn công có thể thoát khỏi các hạn chế của sandbox. Lối thoát này cho phép nội dung độc hại vượt qua hoàn toàn Chế độ Khóa, dẫn đến việc đánh cắp tin nhắn trò chuyện và phát tán phần mềm độc hại thông qua các prompt được dàn dựng hoặc các cuộc trò chuyện được chia sẻ.

Việc tiết lộ này nối tiếp một loạt các phát hiện bảo mật liên quan trong hệ sinh thái AI. Chỉ một tuần trước đó, Parameter Labs đã tiết lộ phương pháp vượt qua sandbox và chính sách bảo mật nội dung của ChatGPT bằng cách gửi một liên kết chia sẻ độc hại. Ngoài ra, Check Point trước đây cũng đã chứng minh một kênh lệnh chéo tài khoản bí mật, cho phép kẻ tấn công chạy các tác vụ ẩn bằng phiên đăng nhập của nạn nhân. Những sự cố này làm nổi bật xu hướng gia tăng khi các điểm yếu trong môi trường ứng dụng xung quanh làm suy yếu các biện pháp kiểm soát bảo mật đặc thù của AI.

Cơ chế hoạt động

Cốt lõi của lỗ hổng nằm ở cách xử lý các bản xem trước HTML. Khi ChatGPT hiển thị HTML do người dùng cung cấp, nó sử dụng các khung hình lồng nhau được cô lập trong sandbox để tách biệt nội dung. Ứng dụng chặn các nỗ lực trực tiếp mở cửa sổ mới từ những khung hình này để duy trì bảo mật. Tuy nhiên, quyền hạn sandbox cơ bản vẫn cho phép tạo các cửa sổ bật lên. Các nhà nghiên cứu phát hiện rằng bằng cách tạo thêm một khung hình lồng khác bên trong trang được hiển thị, họ có thể truy cập vào một hàm popup chưa bị sửa đổi.

Kỹ thuật này cho phép kẻ tấn công vượt qua các hạn chế áp đặt lên bản xem trước HTML gốc. Nội dung được mở qua con đường mới này không còn chịu cùng những giới hạn của sandbox, tạo ra một lối đi trực tiếp vòng qua Chế độ Khóa. Sau khi các hạn chế được gỡ bỏ, kẻ tấn công giành được toàn quyền kiểm soát nội dung hiển thị trong cửa sổ bật lên. Điều này có thể được sử dụng để hiển thị các mồi nhử lừa đảo xã hội (social-engineering) thuyết phục, chẳng hạn như thông báo cập nhật giả, khiến người dùng tải xuống phần mềm độc hại hoặc tiết lộ thông tin đăng nhập.

Chi tiết chính

• Lỗ hổng cho phép đánh cắp dữ liệu zero-click (không cần nhấp chuột) trong ứng dụng ChatGPT trên máy tính để bàn.
• Chế độ Khóa, ra mắt vào tháng 6 năm 2026, đã bị vượt qua do lỗi trong việc xử lý bản xem trước HTML.
• Cuộc khai thác sử dụng các khung hình lồng nhau trong sandbox để truy cập vào một hàm popup chưa bị sửa đổi.
• OpenAI đã vá lỗ hổng vào ngày 18 tháng 9 năm 2026, sau quy trình tiết lộ có trách nhiệm.
• Kẻ tấn công có thể sử dụng lỗ hổng để phát tán phần mềm độc hại thông qua các mồi nhử cập nhật ChatGPT giả mạo.
• Vấn đề này nhấn mạnh rằng các biện pháp kiểm soát bảo mật AI phụ thuộc vào môi trường ứng dụng rộng lớn hơn.

Tại sao điều này quan trọng

Đối với các nhà phát triển và trưởng nhóm kỹ thuật xây dựng sản phẩm tích hợp AI, sự cố này là lời nhắc nhở rõ ràng rằng an toàn ở cấp độ mô hình là chưa đủ. Các biện pháp kiểm soát bảo mật như Chế độ Khóa chỉ mạnh mẽ bằng lớp ứng dụng bao quanh chúng. Điểm yếu trong các công nghệ web tiêu chuẩn, chẳng hạn như hiển thị HTML và quản lý sandbox, có thể tạo ra các kênh phụ (side channels) giúp vượt qua các biện pháp bảo vệ AI tinh vi. Điều này có nghĩa là bảo mật một sản phẩm AI đòi hỏi sự chú ý nghiêm ngặt đến các thực hành bảo mật ứng dụng truyền thống, bao gồm xác thực đầu vào và tính toàn vẹn của sandbox.

Ý nghĩa rộng lớn hơn là các tác nhân và trợ lý AI đang trở thành những môi trường phần mềm phức tạp với bề mặt tấn công riêng. Như thấy với các lỗ hổng gần đây khác như SkillJacking và Embrace, kẻ tấn công ngày càng nhắm vào các điểm tích hợp giữa mô hình AI và các công cụ bên ngoài. Các đội ngũ phải coi chèn prompt là mối đe dọa dai dẳng và thiết kế hệ thống của họ để thất bại an toàn (fail safely) khi gặp đầu vào bất ngờ. Việc chỉ dựa vào các tính năng bảo mật của nhà cung cấp AI mà không kiểm tra hành vi của ứng dụng chủ là một rủi ro đáng kể.

Bạn có thể làm gì

• Đảm bảo ứng dụng ChatGPT trên máy tính để bàn của bạn được cập nhật lên phiên bản mới nhất sau ngày 18 tháng 9 năm 2026.
• Coi tất cả các bản xem trước HTML và liên kết trò chuyện được chia sẻ từ nguồn không đáng tin cậy là có khả năng độc hại.
• Kiểm toán các ứng dụng AI của riêng bạn để tìm các vector thoát khỏi sandbox tương tự trong các thành phần hiển thị HTML.
• Triển khai các chính sách bảo mật nội dung (CSP) nghiêm ngặt để hạn chế các yêu cầu đi ra ngoài từ nội dung nhúng.
• Giám sát lưu lượng mạng đi ra bất thường từ môi trường tác nhân AI như một dấu hiệu của việc đánh cắp dữ liệu.
• Giáo dục người dùng về rủi ro khi nhấp vào liên kết hoặc tải xuống tệp từ các bản xem trước do AI tạo ra.