Lỗ hổng ChatGPT cho phép đánh cắp hội thoại dù bật Lockdown Mode

Các nhà nghiên cứu bảo mật tại Check Point đã công bố chi tiết một lỗ hổng trong ChatGPT của OpenAI, hiện đã được vá. Lỗ hổng này có thể bị khai thác để vượt qua lớp bảo vệ Lockdown Mode, từ đó đánh cắp dữ liệu hội thoại, phát tán mã độc hoặc thực hiện tấn công lừa đảo.

Bối cảnh

Lockdown Mode được OpenAI giới thiệu vào tháng 6/2026 như một tùy chọn nhằm giảm rủi ro rò rỉ dữ liệu do prompt injection. Cơ chế này hoạt động như một rào chắn bảo mật, hạn chế các yêu cầu mạng ra ngoài – vốn có thể bị lợi dụng để chuyển thông tin nhạy cảm về hạ tầng của kẻ tấn công.

Vấn đề nằm ở tính năng xem trước trang HTML bên trong các khối mã của ChatGPT. Nội dung HTML do người dùng cung cấp được đặt trong sandbox để không truy cập được cookie hay local storage của ứng dụng, đồng thời không liên lạc được với tài nguyên bên ngoài nếu chưa có sự đồng ý của người dùng.

Cách thức vượt qua

Theo Eli Smadja, trưởng nhóm nghiên cứu của Check Point, bản xem trước HTML sử dụng các khung sandbox lồng nhau. ChatGPT có chặn các nỗ lực mở cửa sổ mới trực tiếp, nhưng quyền sandbox bên dưới vẫn cho phép popup và để chúng thoát khỏi sandbox.

Bằng cách tạo thêm một khung lồng bên trong trang được hiển thị, kẻ tấn công có thể truy cập hàm popup chưa bị sửa đổi và vượt qua các giới hạn áp lên bản xem trước HTML ban đầu. Nội dung mở theo đường này không còn chịu ràng buộc sandbox, qua đó né được Lockdown Mode.

Sau khi vượt rào, kẻ tấn công có thể đánh cắp dữ liệu, tin nhắn hội thoại hoặc phát tán payload độc hại thông qua một prompt được dàn dựng, một GPT độc hại hoặc một cuộc trò chuyện được chia sẻ. Vì kiểm soát hoàn toàn nội dung trong cửa sổ popup, kẻ tấn công còn có thể tạo mồi lừa đảo thuyết phục, chẳng hạn giả mạo bản cập nhật ChatGPT, dụ nạn nhân nhấp link để tải mã độc.

Phạm vi ảnh hưởng

Điểm đáng chú ý là lỗ hổng không chỉ giới hạn ở ứng dụng desktop chạy trên Electron. Điều này cho thấy điểm yếu nằm ngoài phạm vi mô hình AI vẫn có thể làm suy yếu các biện pháp kiểm soát an ninh AI. Sau khi được báo cáo có trách nhiệm, OpenAI đã xử lý lỗ hổng vào ngày 18/9/2026.

Smadja nhận định Lockdown Mode vốn được thiết kế để giảm khả năng dữ liệu rời khỏi cuộc hội thoại qua các yêu cầu ra ngoài, nhưng một điểm yếu ở tính năng khác lại mở ra đường vòng. Phát hiện này đặt ra vấn đề bảo mật doanh nghiệp rộng hơn: kiểm soát an ninh AI chỉ vững chắc ngang với môi trường ứng dụng bao quanh nó.

Trước đó một tuần, Parameter Labs đã mô tả cách vượt sandbox và chính sách bảo mật nội dung (CSP) của ChatGPT để chiếm tài khoản người dùng chỉ bằng một link chia sẻ công khai do kẻ tấn công kiểm soát. Nhà nghiên cứu Mukul Goyal cho biết khi nạn nhân mở link, payload thực thi dưới danh nghĩa chatgpt.com với quyền truy cập phiên đăng nhập đã xác thực của nạn nhân.

Bức tranh rộng hơn

Hồi đầu tháng 9/2026, Check Point cũng đã trình diễn một kênh lệnh xuyên tài khoản, cho phép kẻ tấn công dùng phiên ChatGPT của nạn nhân để chạy các tác vụ ẩn với công cụ, dữ liệu và ứng dụng kết nối của phiên đó, song song với cuộc hội thoại hiển thị bình thường.

Các phát hiện này trùng với hàng loạt điểm yếu bảo mật được ghi nhận trong nhiều công cụ và dịch vụ AI thời gian gần đây, như SkillJacking nhắm vào phụ thuộc của các skill, nhóm lỗ hổng Embrace trong trình duyệt tích hợp của các trợ lý lập trình AI (Cursor, GitHub Copilot, OpenAI Codex, VS Code, Claude Desktop), kỹ thuật Repeat-After-Me, lỗ hổng AgentCorruption trên AWS Bedrock AgentCore, hay Plugin4Shell gây tấn công chuỗi cung ứng AI.

Giới nghiên cứu nhận định các tác nhân AI đang trở thành hạ tầng mặc định trong CI/CD, nhắn tin, phân loại sự cố và hỗ trợ khách hàng. Càng tự chủ, chúng càng tự quyết định điều gì an toàn thay người dùng, và càng nhiều đầu vào không đáng tin lọt tới khâu thực thi thực tế.

Nguồn: The Hacker News