Der ChatGPT-Sperrmodus wies eine Sicherheitslücke auf, durch die Chats durchsickerten.
Check Point hatte eine Sicherheitslücke entdeckt, die den Sperrmodus von ChatGPT umgehen und unbemerkt Chatverläufe kopieren konnte. OpenAI schloss die Sicherheitslücke am 18. September nach einem vertraulichen Hinweis.
Eine Einstellung, die ChatGPT daran hindern sollte, private Chats preiszugeben, konnte selbst umgangen werden. Laut Check Point Research konnten Angreifer den gesamten Chatverlauf kopieren, Phishing-Fenster einblenden und dies in der Desktop-App sogar ohne Zutun des Opfers tun. OpenAI schloss die Sicherheitslücke am 18. September nach einem privaten Hinweis; Check Point veröffentlichte die Details am 5. November.
In seinem technische Beschreibung, Check Point Research beschreibt den Lockdown-Modus als optionalen Sicherheitsschalter für ChatGPT. Ist er aktiviert, wird der Live-Webzugriff auf zwischengespeicherte Seiten beschränkt, das Laden von Bildern aus dem offenen Internet blockiert und Funktionen wie Deep Research, Agentenmodus, Live-Connectors und Dateidownloads deaktiviert. Ziel ist es, die Wege zu unterbrechen, über die ein Prompt-Injection-Angriff Daten nach außen sendet.
Wo das Loch saß
Der Fehler lag nicht in den Antworten des Modells. Er lag vielmehr darin, wie ChatGPT HTML-Seitenvorschauen innerhalb von Codeblöcken rendert. Diese Vorschauen laufen in einer Sandbox, sodass sie ohne Genehmigung weder Cookies lesen noch mit dem Internet kommunizieren können. Check Point stellte fest, dass verschachtelte Vorschau-Frames es Popup-Fenstern dennoch ermöglichten, diese Sandbox zu verlassen und den Sperrmodus zu umgehen.
Außerhalb der Sandbox konnten Angreifer durch manipulierte Eingabeaufforderungen, bösartige GPT-Prozesse oder einen gemeinsamen Chat kontrollierte Fenster öffnen. Laut Check Point ermöglichte dieser Weg das Kopieren des Chatverlaufs auf einen Server eines Drittanbieters, das Anzeigen gefälschter Update-Bildschirme oder das Herunterladen von Schadsoftware. Bei der Electron-basierten Desktop-App ChatGPT Classic war für das Datenleck laut Forschern kein Benutzerklick erforderlich – es genügte, eine Konversation mit einem bösartigen GPT-Prozess zu starten.
Behoben, aber nicht vergessen
OpenAI teilte Check Point am 18. September 2026 mit, dass die Popup-Berechtigungen aus dem äußeren HTML-Vorschau-Frame entfernt wurden. Check Point testete erneut und bestätigte, dass die Methode nicht mehr funktioniert. Die Korrektur erfolgt serverseitig, sodass Benutzer kein Desktop-Update benötigen.
Die Offenlegung reiht sich ein in andere Risiken für ChatGPT-Kunden, über die DailyAI bereits berichtet hat, von einem Sicherheitslücke in geteilten Links, die private Chats offenlegen könnte bis OpenAI’erhöhte Bug-Bounty-Auszahlungen. Eli Smadja, Forschungsleiter bei Check Point, brachte die Lehre auf den Punkt: Die Sicherheitsvorkehrungen für KI sind nur so stark wie die Anwendung, in der sie eingesetzt werden.
Warum es wichtig ist
Der Sperrmodus wurde als zusätzliche Sicherheitsmaßnahme für sensible Chats beworben. Eine Sicherheitslücke in der HTML-Vorschau führte jedoch dazu, dass diese Maßnahme bis September wirkungslos blieb – und der Bericht erinnert daran, dass das Aktivieren eines Sicherheitsschalters keinen vollständigen Schutz Ihrer Eingaben gewährleistet.
