Descubren cómo ChatGPT escapó del modo de aislamiento: conversaciones podían robarse mediante una simple ventana emergente
OpenAI parcheó la vulnerabilidad, pero Check Point logró mostrar también una actualización falsa
Incluso el modo de protección reforzado de ChatGPT no impidió que los investigadores enviaran discretamente una conversación completa a un servidor externo. Los especialistas de Check Point Research encontraron una forma de eludir el modo de bloqueo, además de usar la interfaz del chatbot para phishing y distribución de archivos maliciosos.
El modo de bloqueo apareció en ChatGPT en junio de 2026 para proteger datos confidenciales. El modo limita las solicitudes de red, bloquea la carga de imágenes desde internet y desactiva la investigación profunda, el modo de agentes y las conexiones externas. Las restricciones deben dificultar las fugas a través de instrucciones maliciosas.
Sin embargo, el investigador Alexey Bukhteev encontró una debilidad no en el modelo de lenguaje, sino en el mecanismo de vista previa de HTML. ChatGPT permite mostrar páginas HTML directamente en bloques de código. El JavaScript en esas páginas se ejecuta en una sandbox sin acceso libre a la interfaz y a la red.
El problema estuvo relacionado con las ventanas emergentes. La vista previa utilizaba marcos anidados con restricciones de seguridad. ChatGPT interceptaba los intentos habituales de abrir una ventana, pero los permisos de la sandbox permitían que las ventanas emergentes escaparan de sus límites. Un marco adicional anidado permitió invocar la función de apertura de ventanas sin restricciones.
A través de ese nuevo canal se podía transmitir información a un servidor del atacante, pese a que el modo de bloqueo estuviera activado. En la demostración, los investigadores usaron un GPT preparado especialmente, que enviaba mensajes de la conversación sin notificar al usuario. El escenario fue especialmente peligroso para la versión de escritorio de ChatGPT basada en Electron: la aparición de la ventana no requería un clic o confirmación separado.
La evasión de las restricciones abrió otras posibilidades. El atacante podía mostrar una ventana falsa de actualización de ChatGPT y proponer la descarga de un programa malicioso. En la aplicación de escritorio esa ventana conservaba el icono conocido de ChatGPT, aumentando la credibilidad de la falsificación. Para descargar el archivo seguía siendo necesario seguir un enlace, por lo que el escenario de infección no puede considerarse un ataque sin la participación del usuario.
Los investigadores también demostraron la posibilidad de manipular la ventana principal de la aplicación, incluso forzar el cierre de la sesión. Así se puede dirigir a la víctima a una página de inicio de sesión falsa. El ataque podía iniciarse mediante una petición maliciosa, un GPT o una conversación general.
Check Point Research describió el ataque el 5 de noviembre. OpenAI ya el 18 de septiembre notificó a los investigadores que había eliminado los permisos de la sandbox que permitían eludir las restricciones. Una verificación posterior confirmó que el método descrito ya no funciona. Los investigadores no informaron sobre ataques reales.