Lockdown Mode de ChatGPT contourné via l'échappement de popup de l'aperçu HTML

De quoi s’agit-il ?

Le 5 novembre 2026, Check Point Research (chercheur Alexey Bukhteyev) a publié l’analyse d’une faille dans l’aperçu de pages HTML que ChatGPT affiche à partir des blocs de code. Elle permettait à du contenu contrôlé par un attaquant de sortir du bac à sable de l’aperçu, y compris pour les utilisateurs ayant activé le Lockdown Mode, le réglage optionnel qui restreint les canaux sortants (accès web en direct, images distantes, connecteurs, téléchargements). OpenAI a indiqué à Check Point avoir déployé un correctif le 18 septembre 2026 ; Check Point a refait le test et confirmé que la technique ne fonctionne plus. La fonction d’aperçu HTML avait été ajoutée en février 2026.

Comment cela fonctionne

L’aperçu s’exécute dans deux iframes imbriquées. Le bac à sable intercepte les requêtes externes et les transforme en demandes d’approbation. Or l’iframe externe conservait les permissions allow-popups et allow-popups-to-escape-sandbox. ChatGPT surchargeait window.open pour exiger une approbation, mais sur un seul chemin d’appel. Selon les chercheurs, une frame imbriquée créée par le contenu de l’aperçu disposait de sa propre fonction d’ouverture non protégée : une popup pouvait donc s’ouvrir sans demande et s’exécuter hors du bac à sable, sans ses restrictions.

La charge pouvait être livrée par un prompt piégé, un GPT malveillant ou une conversation partagée. Check Point décrit comme conséquences le transfert silencieux de l’historique et des fichiers téléversés, des fenêtres imitant ChatGPT (par exemple une fausse mise à jour), et une déconnexion forcée suivie d’une ré-authentification sur une page de l’attaquant. Dans le client de bureau Electron, les popups ne nécessitaient pas de geste de l’utilisateur, ce qui rendait l’exfiltration sans clic. Dans le navigateur, les risques principaux étaient les popups usurpées et les téléchargements non bloqués.

Pourquoi c’est important

Le Lockdown Mode est présenté comme un contrôle déterministe contre le vol de données par injection de prompt. Cette découverte montre qu’un tel contrôle ne vaut que par l’environnement applicatif qui l’entoure : un seul indicateur de bac à sable trop permissif a affaibli une fonction destinée aux utilisateurs à risque. Elle illustre aussi que le rendu de HTML généré par un modèle est une surface d’attaque distincte du comportement du modèle lui-même.

Défenses

• Côté éditeur : retirer les permissions de popup de l’iframe externe, modification qui a résolu le problème.
• Traitez les clics sur le contenu des conversations partagées et des GPT non fiables comme potentiellement dangereux.
• Maintenez à jour les clients de bureau et privilégiez des GPT et prompts vérifiés.
• Méfiez-vous des fenêtres de connexion ou de « mise à jour » inattendues issues d’une conversation.
• Pour les développeurs : appliquer une politique de bac à sable en refus par défaut, imposer les restrictions à la frontière du bac à sable plutôt qu’en surchargeant des fonctions JavaScript, et tester les cas de frames imbriquées.

Statut

Élément	Détail
Divulgué par	Check Point Research, 5 novembre 2026
Correctif déployé	18 septembre 2026 (selon OpenAI à Check Point)
Concernés	ChatGPT web et client de bureau ChatGPT Classic (le plus grave) ; mobile non traité dans le rapport
Statut	Corrigé ; nouveau test confirmé par les chercheurs