La modalità di blocco di ChatGPT aveva una falla che lasciava trapelare le chat

Un'impostazione pensata per impedire a ChatGPT di divulgare chat private poteva essere aggirata. Secondo Check Point Research, gli aggressori potevano copiare l'intera cronologia delle conversazioni, inviare finestre di phishing e, nell'applicazione desktop, farlo senza che la vittima dovesse fare nulla. OpenAI ha chiuso la falla il 18 settembre in seguito a una segnalazione privata; Check Point ha pubblicato i dettagli il 5 novembre.

Nella sua descrizione tecnica, Check Point Research descrive la Modalità di blocco come un interruttore di sicurezza opzionale di ChatGPT. Quando è attiva, l'accesso al web in tempo reale è limitato alle pagine memorizzate nella cache, il caricamento delle immagini da Internet viene bloccato e strumenti come Ricerca approfondita, Modalità agente, connettori live e download di file vengono disattivati. L'obiettivo è quello di interrompere i percorsi che un attacco di iniezione di prompt utilizza per inviare dati.

Dove si trovava il buco

Il problema non risiedeva nelle risposte del modello, bensì nel modo in cui ChatGPT visualizza le anteprime delle pagine HTML all'interno dei blocchi di codice. Queste anteprime vengono eseguite in un ambiente isolato (sandbox), pertanto non possono leggere i cookie né comunicare con il web esterno senza autorizzazione. Check Point ha scoperto che i frame di anteprima annidati permettevano comunque alle finestre popup di eludere tale ambiente isolato, aggirando di fatto anche la modalità di blocco.

Una volta fuori dalla sandbox, un prompt appositamente creato, un GPT personalizzato dannoso o una chat condivisa potrebbero aprire finestre controllate dall'attaccante. Check Point afferma che questo percorso potrebbe copiare la cronologia della chat su un server di terze parti, mostrare schermate di aggiornamento false o forzare il download di malware. Nell'app desktop ChatGPT Classic basata su Electron, i ricercatori affermano che la fuga di dati non richiedeva alcun clic da parte dell'utente: era sufficiente avviare una conversazione con un GPT dannoso.

Riparato, ma non dimenticato

Il 18 settembre 2026 OpenAI ha comunicato a Check Point di aver rimosso le autorizzazioni per i popup dal frame HTML-preview esterno. Check Point ha effettuato nuovi test e ha confermato che la tecnica non funziona più. La correzione è stata implementata lato server, quindi gli utenti non necessitano di un aggiornamento del sistema operativo.

La divulgazione si aggiunge ad altri rischi per i clienti di ChatGPT che DailyAI ha trattato, da un una falla nel link condiviso che potrebbe esporre chat private a OpenAI’ha aumentato i pagamenti per la cattura di bug. Eli Smadja, responsabile della ricerca di Check Point, ha riassunto il concetto in modo semplice: i controlli di sicurezza basati sull'IA sono efficaci solo quanto l'applicazione che li supporta.

Perché è importante

La modalità di blocco era stata presentata come una protezione aggiuntiva per le chat sensibili. Una falla nel livello di anteprima HTML ha fatto sì che questa protezione non funzionasse fino a settembre, e il rapporto ci ricorda che attivare un interruttore di sicurezza non equivale a una protezione end-to-end di ciò che si digita.