Luka w Lockdown Mode ChatGPT. Co ustalił Check Point

Czym jest Lockdown Mode i co obeszli badacze

Lockdown Mode to dodatkowe ustawienie dla osób i organizacji pracujących z wrażliwymi danymi. Chroni przed wstrzyknięciem polecenia (prompt injection), czyli ukrytą instrukcją, która każe modelowi wysłać dane poza rozmowę. Dlatego tryb ogranicza przeglądanie sieci do treści z pamięci podręcznej, wyłącza między innymi tryb agenta i Deep Research oraz blokuje ruch sieciowy z kodu w Canvas.

Słabym punktem okazała się funkcja wygody. Od lutego 2026 roku ChatGPT pokazuje podgląd stron HTML bezpośrednio w rozmowie. Podgląd działał w izolowanym sandboxie, ale Check Point znalazł sposób na otwarcie okna, które tej izolacji już nie podlegało. Treść w takim oknie omijała też ograniczenia Lockdown Mode. Nie opisujemy szczegółów technicznych, bo nie są potrzebne do oceny ryzyka.

Jak mógł wyglądać atak na użytkownika ChatGPT

Najgroźniejszy scenariusz dotyczył aplikacji ChatGPT Classic na komputery. Według badaczy złośliwy GPT mógł po cichu wysłać wiadomości z rozmowy na serwer atakującego, a ofierze wystarczyło prowadzenie zwykłej konwersacji. Kontakt z taką treścią mógł też nastąpić przez spreparowane polecenie albo udostępniony czat.

W przeglądarce atak wymagał kliknięcia w przygotowany podgląd, ale scenariusz z pobieraniem pliku był prostszy. Do uruchomienia pobrania wystarczył udostępniony czat i kliknięcie w jego treść, a ofiara nie musiała mieć konta. Okno mogło przypominać ChatGPT, na przykład udawać aktualizację programu. W aplikacji badacze wymusili też wylogowanie użytkownika, aby skłonić go do wpisania hasła na obcej stronie.

• Wyciek danych - historia czatu trafiała poza ChatGPT bez powiadomienia.
• Phishing - fałszywe okno prosiło o ponowne zalogowanie.
• Złośliwe oprogramowanie - plik udawał aktualizację aplikacji.

Co zrobiło OpenAI i czego nie wiadomo

Check Point zgłosił błąd w ramach odpowiedzialnego ujawniania. OpenAI poinformowało 18 września 2026 roku, że wdrożyło poprawkę, a badacze powtórzyli test i potwierdzili, że opisana technika już nie działa. Publikacja pojawiła się ok. siedmiu tygodni później. Zmiana objęła sandbox podglądu, czyli element usługi, więc raport nie wspomina o aktualizacji po stronie użytkownika.

Check Point nie podaje daty zgłoszenia ani liczby kont, które mogły być narażone. Nie wiadomo też, czy ktoś wykorzystał lukę przed poprawką. Raport nie zawiera takiej informacji, co nie jest tym samym co potwierdzenie, że do tego nie doszło.

Co powinny zrobić polskie firmy

To kolejny taki przypadek w krótkim czasie. Tydzień wcześniej opisano lukę w linkach udostępniania ChatGPT, także związaną z podglądem HTML. W naszej ocenie wniosek jest praktyczny. Lockdown Mode dalej ma sens, ale zmniejsza ryzyko, a nie je usuwa, co zresztą przyznaje dokumentacja OpenAI. Dla kancelarii, księgowości czy działów HR liczy się to, jakie dane trafiają do czatu, bo to one mogą wyciec.

Polskie organizacje muszą też pamiętać, że dane osobowe w rozmowie z chatbotem podlegają RODO. Ewentualny wyciek firma powinna oceniać według swoich procedur naruszeń, najlepiej z inspektorem ochrony danych.

1. Nie wyłączaj Lockdown Mode z powodu tej luki, bo poprawka działa już po stronie OpenAI. Utrzymuj aktualną wersję aplikacji.
2. Nie otwieraj udostępnionych czatów ani własnych GPT z niepewnych źródeł.
3. Nie instaluj aktualizacji z okien otwartych w rozmowie. Korzystaj ze sklepu z aplikacjami lub strony OpenAI.
4. Przy nieoczekiwanym wylogowaniu sprawdź adres strony przed wpisaniem hasła i włącz uwierzytelnianie dwuskładnikowe.
5. Administratorzy powinni ograniczyć listę dozwolonych GPT i ustalić, które dane wolno wklejać do czatu.