11月6日、GBhackersが「ChatGPT Lockdown Mode Bypass Allowed Hackers to Steal Private Chats Without User Interaction」と題した記事を公開した。ChatGPTのLockdown Modeをバイパスしてチャット履歴を無断で外部サーバーへ送信できる脆弱性について、研究者Alexey BukhteyevおよびCheck Point Researchによる調査結果をもとに詳しく報告している。
Lockdown Modeとは何か
Lockdown Modeは、2024年にOpenAIが導入したオプション設定だ。ジャーナリスト・活動家・外交官など、標的型攻撃のリスクが高いユーザー層を主な対象として設計されており、プロンプトインジェクション（AIの会話に悪意ある命令を紛れ込ませる手法）を通じたデータ窃取を防ぐことを主目的としている。具体的には、ブラウジングをキャッシュ済みコンテンツに限定し、外部画像・Canvas通信・Deep Research・Agent Mode・ファイルダウンロードを無効化する設計だ。今回の脆弱性は、そうした保護を実質的に無意味にするものだった。
二者の役割：BukhteyevとCheck Point Researchの関係
今回の報告には二つの独立した調査が絡んでいる。研究者Alexey Bukhteyevが2025年11月5日に公開した調査は、Lockdown Modeがほぼ完全にバイパスできる状態にあることを最初に示したものだ。一方、Check Point Researchはその脆弱性の技術的な根本原因——iframeのパーミッション設計上の抜け穴——を特定し、三種類の具体的な攻撃シナリオを実証した。両者は別々に動いており、GBhackersの記事はその双方の知見をまとめて報告している。
ユーザー操作なしでチャット履歴が漏洩
Bukhteyevの調査によれば、ChatGPTのLockdown Modeはほぼ完全にバイパスできる状態だった。攻撃者は悪意あるプロンプト、カスタムGPT、または共有チャットを通じて、被害者のチャット履歴全体を第三者サーバーへ送信できた。しかも、ユーザーの操作は一切不要だった。
脆弱性の核心：iframeのパーミッション設計ミス
問題の起点は2026年2月にOpenAIが追加したHTMLページプレビュー機能だ。コードブロック内に攻撃者の影響を受けたHTMLやJavaScriptをレンダリングするリスクを考慮し、OpenAIは二重にネストされたサンドボックスiframeの中でプレビューを動作させていた。
しかし、Check Point Researchが発見したのは外側サンドボックスのパーミッション設定の抜け穴だ。外側のiframeには allow-popups と allow-popups-to-escape-sandbox が許可されており、OpenAIはこれを補完するために window.open をオーバーライドしてポップアップにユーザー承認を要求するスクリプトを置いていた。
ところが、このオーバーライドはトップレベルページにしか適用されていなかった。攻撃者のスクリプトがさらに別のネスト済みiframeを生成し、その contentWindow.open を呼び出すと、サンドボックス外で任意のHTMLを実行できる正規のポップアップを取得できた。これによりプレビュー制限もLockdown Modeも突破される。
三段階の攻撃シナリオ
Check Point Researchが実証した攻撃手法は主に三つある。
① チャット履歴の無音流出
ElectronベースのChatGPT Classicデスクトップアプリでは、window.open がユーザーのジェスチャー（クリック等）なしに動作した。悪意あるプロンプトや共有チャットを開くだけで、チャットメッセージが攻撃者サーバーへ送信された。通知は一切表示されない。
② マルウェア配布
スプーフィングされたポップアップはChatGPTのアイコンをそのまま表示しつつ、タイトルや中身は攻撃者が制御する。「ChatGPTのアップデート」に偽装したマルウェアをダウンロードさせることが可能だ。デスクトップアプリは自動ダウンロードをブロックするためリンクのクリックが必要だが、ブラウザ経由では自動ダウンロードが発動する。また、被害者はChatGPTアカウントを持っていなくてもよく、共有チャットのリンクを踏むだけで攻撃が成立する。
③ 資格情報の詐取（フィッシング）
攻撃者はメインアプリのウィンドウをリロードして強制的にサインアウトさせ、偽のログインページへ誘導して認証情報を入力させることもできた。
修正済み、しかし根本的な課題は残る
OpenAIは2026年9月18日に、外側のHTMLプレビューiframeから allow-popups と allow-popups-to-escape-sandbox の両パーミッションを削除したと回答した。研究者が再検証し、当該手法が機能しないことを確認している。
ただし、今回の脆弱性は孤立した事例ではない。同時期にはChatGPTのコード実行ランタイム内の隠れた送信チャネルを使ったプロンプト漏洩の脆弱性も報告されており、以前にはGmailデータが他のアカウントに露出する問題も確認されている。AIアシスタントがクラウドでコードを実行しクライアント上でコンテンツをレンダリングする「フル実行環境」になるほど、攻撃対象領域は広がる。
ユーザーが今取れる対策
修正は適用済みだが、類似の攻撃手法が今後も出現しうる構造的な背景は変わっていない。共有チャット内のコンテンツは安易にクリックしないこと、AIに機密情報を入力する際は慎重に判断することが、現時点でユーザーが取れる現実的な対策だ。Lockdown Modeを有効化しているユーザーであっても、機能が保護の万能な盾ではないという前提で運用することが望ましい。
詳細はChatGPT Lockdown Mode Bypass Allowed Hackers to Steal Private Chats Without User Interactionを参照していただきたい。
