Lek in ChatGPT omzeilde Lockdown Mode en lekte chats

De Lockdown Mode van ChatGPT moet voorkomen dat gevoelige gesprekken via een slimme prompt naar buiten lekken. Toch vond Check Point Research een manier om complete chatgeschiedenissen ongemerkt naar een eigen server te sturen. OpenAI heeft het lek inmiddels gedicht. De onderzoekers maakten de details op 5 november bekend.

Wat Lockdown Mode doet

Lockdown Mode is een optionele instelling die OpenAI eerder dit jaar invoerde tegen datadiefstal via prompt-injectie. Wie de modus aanzet, kan alleen nog gecachte webpagina’s openen. Afbeeldingen van internet worden geblokkeerd en functies als Deep Research, Agent Mode, live connectors en bestandsdownloads gaan uit. Het idee: als er geen kanaal naar buiten is, kan er ook niets weglekken.

In zijn technische analyse laat onderzoeker Alexey Bukhteyev zien dat er toch zo’n kanaal bestond. Het zat in de HTML-preview die ChatGPT sinds februari toont bij codeblokken.

Een pop-up die uit de zandbak ontsnapte

Die preview draait in twee geneste, afgeschermde iframes. De buitenste zandbak stond pop-ups toe en gaf pop-ups ook toestemming om uit de zandbak te ontsnappen. ChatGPT ving directe pop-ups wel af met een eigen controle die toestemming van de gebruiker vroeg. Die controle gold alleen voor het bovenste venster. Een script dat zelf een extra iframe aanmaakte, kon daarvandaan alsnog een echt pop-upvenster openen, met willekeurige HTML die buiten de zandbak draaide.

Het ernstigste scenario speelde in ChatGPT Classic, de desktop-app op basis van Electron. Daar ging het pop-upvenster open zonder enige klik. “In ChatGPT Classic, the attack requires zero user interaction”, schrijft Check Point. Een kwaadaardige prompt, een gemanipuleerde GPT of een gedeelde chat was genoeg om berichten naar een server van de aanvaller te sturen. Volgens GBHackers werd in een demonstratie de volledige chatgeschiedenis overgezet zonder dat de gebruiker een melding kreeg.

De onderzoekers lieten ook phishing zien. Het nagemaakte venster hield het ChatGPT-icoon, terwijl de aanvaller de titel bepaalde. Zo kon een slachtoffer worden uitgelogd en naar een valse inlogpagina worden gestuurd, of een “update” voorgeschoteld krijgen die in werkelijkheid malware was. In de browser was dat laatste nog eenvoudiger, omdat automatische downloads daar niet worden tegengehouden.

OpenAI dichtte het lek in september

Check Point meldde het probleem vooraf aan OpenAI. Op 18 september liet OpenAI weten dat de twee pop-uprechten uit de buitenste iframe zijn verwijderd. Bij een nieuwe test werkte de techniek niet meer. Check Point meldt geen aanvallen in het wild; het gaat om proof-of-concepts. Eli Smadja, hoofd onderzoek bij Check Point, zei tegen The Hacker News: “AI security controls are only as strong as the wider application environment around them.”

Het is niet de eerste keer dat Check Point een uitweg in ChatGPT vindt. Begin dit jaar dichtte OpenAI al een lek waarbij gegevens via DNS-verzoeken uit de code-omgeving konden ontsnappen. Ook bij andere assistenten duiken dit soort problemen op, zoals bij het Copilot-lek dat Microsoft pas na acht maanden dichtte.

Wat betekent dit

Een veiligheidsschakelaar in een AI-dienst beschermt alleen wat de makers hebben voorzien. Hier zat het gat in een handige extra functie, de codepreview, en niet in het taalmodel zelf. Organisaties die ChatGPT met vertrouwelijke informatie gebruiken, moeten beseffen dat Lockdown Mode het risico verkleint maar niet wegneemt. Wees voorzichtig met gedeelde chats en GPT’s van onbekende makers en klik niet zomaar op pop-ups of updatemeldingen binnen een chatvenster.

Prompt-injectie blijft intussen het grootste zorgenkind bij AI-tools. Eerder schreven we over AI-skills die instructies uit onveilige bronnen halen en over een kritiek lek in Prefab UI dat MCP-servers openzette. OpenAI zet zelf ook in op beveiliging, onder meer met GPT-6 Cyber voor erkende beveiligers.