Umgehung von ChatGPT Lockdown Mode legt größeres KI-Sicherheitsrisiko offen

5. November 2026, 14:01Quelle: Check Point

Check Point Research hat eine Schwachstelle entdeckt, die ChatGPT Lockdown Mode umgehen und den unbemerkten Diebstahl von Chatdaten, Phishing sowie die Verbreitung von Malware ermöglichen konnte. OpenAI behob das Problem nach einer verantwortungsvollen Offenlegung. Die Untersuchung zeigt jedoch Risiken in der weiteren Anwendungsumgebung rund um KI-Systeme.

Das Wichtigste in Kürze

Check Point Research umging ChatGPT Lockdown Mode über HTML-Seitenvorschauen.
Die Schwachstelle konnte den Diebstahl von Chatdaten, Phishing und die Verbreitung von Malware ermöglichen.
Die Forscher demonstrierten eine potenzielle Zero-Click-Exfiltration von Daten in der Desktopanwendung.
OpenAI stellte nach der verantwortungsvollen Offenlegung einen Fix bereit.
Die Untersuchung zeigt Risiken in KI-Anwendungen, Laufzeitumgebungen und Sandboxes.

Umgehung der Sicherheitskontrollen von ChatGPT

Lockdown Mode ist eine optionale erweiterte Sicherheitseinstellung, die das Risiko verringern soll, dass vertrauliche Informationen ChatGPT über Prompt-Injection verlassen. Sie schränkt potenzielle Kanäle für ausgehende Daten ein, darunter den Live-Zugriff auf das Web und im Internet gehostete Bilder. Gleichzeitig werden Deep Research, Agent Mode, Live-Connectoren und Dateidownloads deaktiviert.

Check Point Research stellte fest, dass HTML-Seitenvorschauen innerhalb von ChatGPT-Codeblöcken einen weiteren Weg an diesen Schutzmaßnahmen vorbei boten. Die Funktion rendert HTML-Inhalte innerhalb von ChatGPT. Dabei kommt eine Sandbox zum Einsatz, die den Inhalt von der Hauptanwendung trennen und den Zugriff auf Cookies, den lokalen Speicher, die Benutzeroberfläche der Anwendung und externe Ressourcen einschränken soll.

Nach Angaben von Check Point Research ermöglichte eine Schwachstelle beim Umgang mit Popup-Fenstern, dass ein Popup aus der Sandbox ausbrechen konnte. Durch das Erstellen eines weiteren verschachtelten Frames innerhalb der gerenderten Seite griffen die Forscher auf eine unveränderte Popup-Funktion zu und umgingen die für die ursprüngliche HTML-Vorschau geltenden Einschränkungen.

Mögliche Angriffe umfassten Datendiebstahl und Phishing

Nach Angaben der Forscher konnte die Schwachstelle mehrere Angriffsszenarien ermöglichen, darunter die Exfiltration von Chatdaten, Phishing zum Abgreifen von Zugangsdaten und die Verbreitung von Malware. Der Angriff konnte potenziell mit einem bösartigen Prompt, einem bösartigen GPT oder einem geteilten Chat beginnen.

In der ChatGPT-Desktopanwendung behielt ein neues Fenster das ChatGPT-Anwendungssymbol bei, während Titel und Inhalt von einem Angreifer kontrolliert werden konnten. Check Point Research demonstrierte, wie dies genutzt werden konnte, um ein gefälschtes ChatGPT-Update anzuzeigen und ein Opfer zum Herunterladen von Malware zu bewegen. Die Forscher stellten außerdem fest, dass sich das Hauptfenster der Anwendung unter anderem so manipulieren ließ, dass ein Nutzer zwangsweise abgemeldet wurde. Dadurch konnte ein möglicher Weg zu einer von einem Angreifer kontrollierten Authentifizierungsseite entstehen.

Das schwerwiegendste Szenario betraf die auf Electron basierende Desktopanwendung. Das Popup-Verhalten funktionierte ohne eine Aktion des Nutzers. Dadurch konnten die Forscher demonstrieren, wie ein bösartiger GPT Chatnachrichten während eines Gesprächs unbemerkt an einen von einem Angreifer kontrollierten Server weiterleitete. Beim Download-Szenario auf dem Desktop musste das Opfer laut der Untersuchung noch auf einen Link klicken.

Warum der Fund für die KI-Sicherheit in Unternehmen wichtig ist

Check Point Research erklärte, dass die Technik nicht auf die Desktopumgebung beschränkt war, obwohl die Demonstration diese Anwendung nutzte. Die Schwachstelle lag in der weiteren Anwendungsumgebung und nicht im KI-Modell selbst. Das zeigt, wie Schwächen in Laufzeitumgebungen, Sandboxes, Codeausführungsumgebungen oder Konnektoren die Schutzmaßnahmen eines KI-Systems untergraben können.

Für Unternehmen ist das Risiko größer, wenn Beschäftigte KI-Assistenten mit vertraulichen Geschäftsinformationen, hochgeladenen Dokumenten oder anderen sensiblen Kontextdaten verwenden. Check Point empfiehlt, Transparenz über die KI-Nutzung zu schaffen, zu kontrollieren, welche Informationen Beschäftigte mit KI-Diensten teilen, die Komponenten rund um das Modell zu prüfen und die für Drittanbieterplattformen verfügbaren sensiblen Informationen zu begrenzen.

Check Point Research meldete die Schwachstelle verantwortungsvoll an OpenAI. Das Unternehmen teilte den Forschern am 18. September 2026 mit, dass es einen Fix bereitgestellt hatte, der die für die Technik erforderlichen Sandbox-Berechtigungen entfernte. Check Point testete das Problem anschließend erneut und bestätigte, dass die beschriebene Ausnutzungsmethode nicht mehr funktioniert. Für Unternehmen bleibt eine umfassendere Lehre: Der Schutz von KI-Daten erfordert Kontrollen für die gesamte Anwendungsumgebung und nicht nur für das Modell oder eine einzelne Sicherheitseinstellung.