ChatGPT Lockdown Mode, el ajuste creado para impedir el robo de chats, tenía una puerta lateral: una ventana emergente escapaba del entorno aislado de la vista previa HTML y sacaba la conversación completa a un servidor ajeno sin avisar al usuario.
Check Point Research publicó la investigación el 5 de noviembre, con el fallo ya corregido. El investigador Alexey Bukhteyev lo había reportado antes por la vía privada, OpenAI aplicó la corrección el 18 de septiembre y la firma volvió a probar el ataque y confirmó que dejó de funcionar. Eli Smadja, jefe de investigación de Check Point, resumió el alcance en declaraciones a The Hacker News: robo silencioso de datos del chat, suplantación dentro de la interfaz y programas dañinos, con salida de datos sin un solo clic en la aplicación de escritorio.
El modo existe contra la inyección de instrucciones, esa técnica donde un texto escondido en una página o en un archivo le ordena al asistente enviar datos privados a una dirección del atacante. OpenAI lo estrenó en febrero de 2026 para los planes de empresa y en junio llegó a las cuentas personales, donde se activa en Ajustes, en el apartado de Seguridad (fechas precisadas por Cybersecurity News).
Con el modo activo, ChatGPT corta los canales de salida. La navegación en vivo queda limitada a contenido guardado en caché, las imágenes externas dejan de cargarse, el código creado en Canvas pierde el acceso a la red y quedan apagados Deep Research, el modo agente, los conectores en vivo y la descarga de archivos. El candado se veía completo.
La ventana emergente que salía del aislamiento
La pieza débil entró en febrero de 2026, cuando OpenAI sumó la vista previa de páginas HTML dentro de los bloques de código, para ver la página renderizada sin salir del chat. Ese contenido, controlado por cualquiera que arme la página, corre dentro de un entorno aislado armado con dos marcos iframe anidados, lejos de las cookies y del almacenamiento local de chatgpt.com. El aislamiento traía dos permisos activos: allow-popups, que deja abrir ventanas emergentes, y allow-popups-to-escape-sandbox, que deja a esa ventana vivir fuera del aislamiento.
ChatGPT vigilaba las ventanas con una función window.open propia que pedía aprobación del usuario antes de abrir nada, pero el control cubría el marco principal, no los marcos hijos. Bukhteyev creó un marco más dentro de la página de la vista previa y llamó a la función open de ese marco hijo, intacta. La ventana se abrió sin pedir permiso y su contenido corrió fuera del aislamiento, con ChatGPT Lockdown Mode activo y sin que la persona sentada frente a la pantalla viera una alerta. El robo de chats dejaba de necesitar un error del usuario: le bastaba una página bien armada dentro de la conversación.
Sin clic en la aplicación de escritorio
En ChatGPT Classic, la aplicación de escritorio construida con Electron, window.open funcionaba sin gesto del usuario. Bastaba conversar. Un GPT malicioso enviaba el historial completo del chat a un servidor del atacante, en silencio, y el video de la prueba que publicó Check Point muestra la transferencia entera, sin notificación alguna; los archivos subidos a esa conversación quedaban dentro del mismo paquete expuesto. La entrada podía ser una instrucción maliciosa, un GPT preparado para eso o un chat compartido por enlace.
Con la ventana libre, el atacante pintaba avisos a su gusto dentro de una interfaz de confianza. Una falsa actualización de ChatGPT, con el icono real de la aplicación y el título elegido por él, empujaba la descarga de un programa dañino; en el navegador, donde las descargas automáticas no tienen ese freno, ni hacía falta tener cuenta para caer, bastaba abrir un chat compartido con la página trampa. Otro camino cerraba la sesión de la víctima a la fuerza y le mostraba una página de acceso falsa, lista para quedarse con su contraseña.
OpenAI corrigió el fallo el 18 de septiembre de 2026 quitando los dos permisos de ventanas emergentes del marco exterior de la vista previa. La corrección vive en el servidor, nadie tiene que instalar nada ni tocar un ajuste, y Check Point repitió la prueba completa y verificó que la técnica ya no funciona. El informe de la firma no trae código CVE asignado: fue un cierre directo entre investigador y fabricante, divulgado casi siete semanas después de aplicado.
El componente ya arrastraba otro fallo reciente y distinto. A finales de octubre, un enlace compartido de ChatGPT exponía chats privados con código que corría en la sesión autenticada de la víctima, y OpenAI lo corrigió el 26 de octubre. Check Point precisó a The Hacker News que son dos vulnerabilidades diferentes sobre la misma pieza: la de octubre ejecutaba código fuera del aislamiento para pedir datos a chatgpt.com en nombre de la víctima, y la de la ventana emergente rompía el candado entero de Lockdown Mode.
La línea de tiempo deja el dato incómodo a la vista. La vista previa HTML entró en febrero, Lockdown Mode llegó a las cuentas personales en junio con la promesa de cerrar las salidas de datos y la ventana lateral siguió abierta hasta el 18 de septiembre, mientras por esos chats pasaban historiales médicos, finanzas personales y documentos de trabajo. Quien activó el modo en esos meses tenía cerrado el portón principal, con una rendija funcionando en el marco de al lado.
Fuente: Check Point Research
