Check Point fand eine Schwachstelle: verschachtelte HTML‑Vorschauen umgingen ChatGPTs Lockdown Mode und erlaubten das Öffnen von Popups.
In Kürze
- Verschachtelte Vorschau‑Frames ließen Popups aus der Sandbox entkommen
- Angreifer konnten Chat‑Historie exfiltrieren, falsche Updates zeigen oder schädliche Downloads starten
- OpenAI entfernte serverseitig Popup‑Berechtigungen; kein App‑Update nötig
Check Point Research hat eine Schwachstelle in ChatGPTs Lockdown Mode entdeckt, die es bösartigen Vorschauen erlaubte, aus ihrer Sandbox auszubrechen. OpenAI soll den Fehler nach Angaben von Check Point bereits am 18. September 2026 serverseitig behoben haben; die Sicherheitsfirma veröffentlichte die Details am 5. November.
Was Lockdown Mode machen soll
Lockdown Mode ist eine optionale Sicherheitsfunktion in ChatGPT. Aktiviert sie, schränkt die App den Zugriff auf Live‑Webinhalte ein, blockiert das Laden von Bildern aus dem Web und deaktiviert bestimmte Funktionen.
- Schränkt den Zugriff auf Live‑Webinhalte ein (nur zwischengespeicherte Seiten sind erlaubt)
- Blockiert das Laden von Bildern aus dem Web
- Deaktiviert Funktionen wie „Deep Research“, „Agent Mode“, Live‑Connectoren und Datei‑Downloads
Ziel ist es, sogenannte Prompt‑Injection‑Angriffe zu verhindern — also Eingaben, mit denen ein Angreifer das System dazu bringen könnte, vertrauliche Daten preiszugeben.
Wo die Lücke lag
Die Lücke steckte nicht in den Antworten des Modells, sondern in der Art, wie ChatGPT HTML‑Seitenvorschauen innerhalb von Codeblöcken rendert. Diese Vorschauen laufen normalerweise in einer Sandbox, die den Zugriff auf Cookies und externe Kommunikation verhindern soll.
Check Point fand aber, dass verschachtelte Vorschau‑Frames Popups aus dieser Sandbox entkommen ließen — und diese Popups umgingen den Lockdown Mode.
Was ein Angreifer damit anstellen konnte
Über manipulierte Prompts, bösartige Custom‑GPTs oder geteilte Chats konnten Angreifer Fenster öffnen, die dann verschiedene schädliche Aktionen ausführten.
- Die komplette Chat‑Historie an einen Drittserver kopieren
- Gefälschte Update‑Bildschirme anzeigen
- Schädliche Downloads anstoßen
Auf der Electron‑basierten ChatGPT Classic Desktop‑App reichte es den Forschern zufolge sogar, ein Gespräch mit einem bösartigen GPT zu starten — ein zusätzlicher Klick des Nutzers war nicht nötig. (Electron ist das Framework, mit dem Web‑Apps als Desktop‑Programme laufen.)
Wie OpenAI das Problem behoben hat
Laut Check Point entfernte OpenAI die Popup‑Berechtigungen aus dem äußersten HTML‑Vorschau‑Frame. Check Point testete die Methode danach erneut und bestätigte, dass der Angriff so nicht mehr funktioniert.
Die Änderung wurde serverseitig vorgenommen; Nutzer müssen also keine Desktop‑App‑Aktualisierung installieren.
Warum das relevant ist
Lockdown Mode wurde als besonders sichere Option für sensible Unterhaltungen beworben. Die Schwachstelle im Vorschau‑Layer zeigt, dass ein einzelner Sicherheitsschalter allein nicht automatisch vollständigen Schutz bietet.
„Sicherheitskontrollen für KI sind nur so gut wie die Anwendung, die sie umgibt“, sagte Check Point‑Forscher Eli Smadja. Der Fall reiht sich in frühere Berichte über Risiken bei ChatGPT‑Clients ein — etwa Lücken beim Teilen von Links — und kommt vor dem Hintergrund, dass OpenAI seine Bug‑Bounty‑Prämien erhöht hat.
Quellen
- Quelle: Check Point Research / OpenAI
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
