ChatGPT 锁定模式被 HTML 预览弹窗逃逸绕过

这是什么？

2026 年 11 月 5 日，Check Point Research（研究员 Alexey Bukhteyev）发布了对 ChatGPT 代码块 HTML 页面预览功能中一处缺陷的分析。该缺陷使攻击者控制的内容能够逃出预览沙箱，即使用户已启用锁定模式（Lockdown Mode，一项限制实时联网、远程图片、连接器和文件下载等对外通道的可选设置）也不例外。OpenAI 告知 Check Point，已于 2026 年 9 月 18 日部署修复；Check Point 复测后确认该技术不再有效。HTML 预览功能于 2026 年 2 月加入。

工作原理

预览运行在两层嵌套的 iframe 中。沙箱会拦截外部请求并转为用户审批提示。但外层 iframe 保留了 allow-popups 与 allow-popups-to-escape-sandbox 权限。ChatGPT 重写了 window.open 以要求审批，但只覆盖了一条调用路径。据研究人员介绍，预览内容创建的嵌套 frame 拥有自己未受保护的弹窗函数，因此弹窗可在无提示的情况下打开，并在沙箱之外运行，不再受其限制。

载荷可通过精心构造的提示词、恶意 GPT 或共享对话投放。Check Point 描述的后果包括：静默传出聊天记录和上传文件、伪装成 ChatGPT 的窗口（例如虚假更新），以及强制登出后诱导用户在攻击者页面重新认证。在基于 Electron 的桌面客户端中，弹窗无需用户手势，因此数据外泄无需点击。在浏览器中，主要风险是伪造弹窗和未被阻止的下载。

为什么重要

锁定模式被定位为防范提示注入数据窃取的确定性控制。这一发现表明，此类控制的强度取决于其周围的应用环境：一个过于宽松的沙箱标志就削弱了为高风险用户设计的功能。它也说明，渲染模型生成的 HTML 是独立于模型自身行为的攻击面。

防御措施

• 厂商侧：移除外层 iframe 的弹窗相关权限，这正是解决问题的修改。
• 将共享对话和不可信 GPT 中的内容点击视为潜在风险。
• 保持桌面客户端更新，优先使用经过审查的 GPT 和提示词。
• 对聊天中意外弹出的登录或”更新”窗口保持警惕。
• 对开发者：采用默认拒绝的 iframe 沙箱策略，在沙箱边界而非通过重写个别 JavaScript 函数来执行限制，并测试嵌套 frame 场景。

状态

项目	详情
披露方	Check Point Research，2026 年 11 月 5 日
修复部署	2026 年 9 月 18 日（OpenAI 告知 Check Point）
受影响范围	ChatGPT 网页版与 ChatGPT Classic 桌面客户端（最严重）；报告未涉及移动端
状态	已修复；研究人员复测确认