Уязвимость ChatGPT позволяла похищать переписку в обход усиленной защиты

Уязвимость в ChatGPT позволяла обходить режим усиленной защиты и незаметно отправлять переписку на сервер злоумышленника, выяснили исследователи Check Point Research. 18 сентября 2026 года OpenAI сообщила им об исправлении, а повторная проверка подтвердила, что описанный способ атаки больше не работает.

В приложении ChatGPT Classic на базе Electron исследователи показали, как сообщения из чата утекают к злоумышленнику без единого клика пользователя: достаточно было общаться с вредоносным GPT. По их оценке, уязвимость позволяла похитить всю историю чата и загруженные файлы.

Ошибка была в механизме предпросмотра HTML-страниц, которые открывались в изолированной среде — «песочнице». Защита подменяла функцию window.open, но злоумышленник мог добавить вложенный iframe и получить доступ к исходной версии этой функции. Через неё можно было открыть окно, на которое уже не распространялись ограничения «песочницы» и режима Lockdown Mode — необязательной настройки, которая для защиты от утечек через prompt injection блокирует внешние изображения, сетевые запросы из кода, созданного в Canvas и скачивание файлов.

Для атаки злоумышленник мог использовать:

• вредоносный запрос;
• вредоносный GPT;
• ссылку на чат с вредоносной страницей.

В ChatGPT Classic всплывающее окно сохраняло значок приложения, а заголовок задавал злоумышленник. Это позволяло создавать правдоподобные приманки для кражи учётных данных или распространения вредоносного ПО под видом обновления.

В браузере открытие окна обычно требовало клика, при этом автоматическая загрузка файлов не блокировалась, а жертве не нужен был даже аккаунт: злоумышленнику достаточно было поделиться чатом с вредоносной страницей. В ChatGPT Classic для скачивания файла пользователю требовалось дополнительно нажать на ссылку.

Ранее в 2026 году та же команда раскрыла другую уязвимость ChatGPT: среда выполнения кода позволяла незаметно передавать данные из переписки на внешний сервер через DNS-туннель в обход сетевой изоляции. OpenAI также исправила эту ошибку.