Lockdown Mode de ChatGPT eludido mediante el escape de popups de la vista previa HTML

¿Qué es esto?

El 5 de noviembre de 2026, Check Point Research (investigador Alexey Bukhteyev) publicó el análisis de una falla en la vista previa de páginas HTML que ChatGPT muestra a partir de bloques de código. Permitía que contenido controlado por un atacante saliera del sandbox de la vista previa, incluso para usuarios con Lockdown Mode activado, el ajuste opcional que restringe canales salientes (acceso web en vivo, imágenes remotas, conectores, descargas). OpenAI informó a Check Point de que desplegó una corrección el 18 de septiembre de 2026; Check Point repitió la prueba y confirmó que la técnica ya no funciona. La vista previa HTML se había añadido en febrero de 2026.

Cómo funciona

La vista previa se ejecuta en dos iframes anidados. El sandbox intercepta las solicitudes externas y las convierte en avisos de aprobación. Sin embargo, el iframe exterior conservaba los permisos allow-popups y allow-popups-to-escape-sandbox. ChatGPT sobrescribía window.open para exigir aprobación, pero solo en una ruta de llamada. Según los investigadores, un frame anidado creado por el contenido de la vista previa tenía su propia función de apertura sin protección, de modo que un popup podía abrirse sin aviso y ejecutarse fuera del sandbox, sin sus restricciones.

La carga podía entregarse mediante un prompt manipulado, un GPT malicioso o una conversación compartida. Check Point describe como consecuencias la transferencia silenciosa del historial y de los archivos subidos, ventanas que imitan a ChatGPT (por ejemplo una falsa actualización) y un cierre de sesión forzado seguido de reautenticación en una página del atacante. En el cliente de escritorio Electron los popups no requerían un gesto del usuario, lo que hacía la exfiltración sin clic. En el navegador, los riesgos principales eran popups suplantados y descargas no bloqueadas.

Por qué importa

Lockdown Mode se presenta como un control determinista contra el robo de datos por inyección de prompts. Este hallazgo muestra que un control así solo es tan fuerte como el entorno de aplicación que lo rodea: una única bandera de sandbox demasiado permisiva debilitó una función pensada para usuarios de alto riesgo. También ilustra que el renderizado de HTML generado por un modelo es una superficie de ataque distinta del comportamiento del propio modelo.

Defensas

• Del lado del proveedor: eliminar los permisos de popup del iframe exterior, el cambio que resolvió el problema.
• Trate los clics en contenido de conversaciones compartidas y GPT no confiables como potencialmente peligrosos.
• Mantenga actualizados los clientes de escritorio y prefiera GPT y prompts verificados.
• Desconfíe de ventanas inesperadas de inicio de sesión o de «actualización» surgidas de un chat.
• Para desarrolladores: aplicar una política de sandbox de denegación por defecto, imponer las restricciones en la frontera del sandbox en lugar de sobrescribir funciones JavaScript concretas y probar casos de frames anidados.

Estado

Elemento	Detalle
Divulgado por	Check Point Research, 5 de noviembre de 2026
Corrección desplegada	18 de septiembre de 2026 (según OpenAI a Check Point)
Afectados	ChatGPT web y cliente de escritorio ChatGPT Classic (el más grave); móvil no tratado en el informe
Estado	Corregido; nueva prueba confirmada por los investigadores