כשמבקשים מ-ChatGPT עמוד HTML, הוא לא רק מראה את הקוד. הוא מציג תצוגה מקדימה חיה של העמוד בתוך התשובה. מפני שמדובר בקוד שמישהו אחר כתב, התצוגה הזאת רצה בתוך סביבה מבודדת שחוסמת ממנה גישה לנתוני האפליקציה ופנייה לשרתים חיצוניים בלי אישור. חוקרי צ'ק פוינט מצאו שהעמוד שיושב בפנים יכול לפתוח חלון קופץ, ושהחלון הקופץ הזה יוצא מהבידוד.

מה קרה

ביוני 2026 הוסיפה OpenAI ל-ChatGPT הגדרה בשם Lockdown Mode, מצב נעילה שאפשר להדליק ידנית. התפקיד שלו הוא לצמצם נזק במצב שבו טקסט שהמודל קורא, בהודעה, במסמך או בעמוד אינטרנט, מכיל הוראות מוסתרות שמכוונות למודל עצמו ומנסות לגרום לו לשלוח מידע החוצה. לטכניקה הזאת קוראים prompt injection, ומצב הנעילה מתמודד איתה בדרך הפשוטה: הוא מגביל את הפניות שהאפליקציה יכולה לעשות לשרתים מחוץ לה.

צ'ק פוינט מצאה שהמחסום הזה נשען על הבידוד של התצוגה המקדימה, ושאפשר לצאת ממנו. ChatGPT חסם ניסיונות ישירים לפתוח חלון חדש, אבל הרשאות הבידוד עצמן עוד אפשרו חלונות קופצים. החוקרים שתלו בתוך העמוד המוצג מסגרת נוספת, מקוננת, וממנה הגיעו לפונקציה שפותחת חלון ושלא עברה את אותה חסימה. התוכן שנפתח בדרך הזאת כבר לא כפוף לבידוד המקורי, ומצב הנעילה מאבד עליו שליטה.

מכאן יש שני מסלולים. הראשון הוא הוצאת תוכן השיחות עצמן, שלפי צ'ק פוינט עובדת באפליקציית הדסקטופ בלי שתלחצו על כלום. השני דורש לחיצה: מפני שהתוקף שולט בתוכן החלון הקופץ, הוא יכול להציג בו עמוד שנראה כמו הודעה אמיתית של ChatGPT, למשל הצעה להתקין עדכון, ומשם להוביל להורדת נוזקה. את המטען אפשר להעביר בהנחיה מוכנה, ב-GPT מותאם שמישהו בנה, או בשיחה משותפת שנשלחת אליכם בקישור.

למה זה חשוב לכם

החולשה כבר תוקנה. OpenAI סגרה אותה ב-18 בספטמבר אחרי דיווח מסודר, וצ'ק פוינט פרסמה את הפרטים רק ב-5 בנובמבר. שני דברים נשארים רלוונטיים. האחד, מי שמריץ גרסה ישנה של אפליקציית הדסקטופ לא קיבל את התיקון, והאפליקציה הזאת בנויה על Electron, כלומר היא בעצם דפדפן ארוז. השני, לפי אלי סמדג'ה, ראש תחום המחקר בצ'ק פוינט, הבעיה לא מוגבלת ל-Electron, והמסקנה שלו היא שהגדרת אבטחה של מודל שפה חזקה רק כמו הסביבה שמריצה אותה.

זה גם לא המקרה הראשון מהחודש האחרון. שבוע קודם לכן פורסמה מ-Parameter Labs דרך לעקוף את הבידוד של ChatGPT דרך קישור שיתוף, עד כדי השתלטות על החשבון, ועל זה כתבנו כאן ב-31 באוקטובר.

מה עושים?

עדכנו את אפליקציית ChatGPT לדסקטופ. התיקון נמצא בגרסאות החדשות, ואפליקציה שלא עודכנה מאז ספטמבר לא מכילה אותו.

הדליקו את מצב הנעילה בהגדרות, במיוחד אם אתם מדביקים ל-ChatGPT מסמכים, מיילים או קישורים ממקורות שאתם לא מכירים. הוא הגדרה שצריך לבחור, לא ברירת מחדל.

התייחסו לכל חלון בתוך ChatGPT שמציע להתקין עדכון, להוריד קובץ או להזין סיסמה כאל חלון של מישהו אחר. עדכונים לא מגיעים ככה.

היזהרו עם GPT-ים מותאמים ועם קישורי שיחה משותפת שמגיעים מאנשים שאתם לא מכירים. מבחינת התוקף שניהם ערוץ הזרקה לגיטימי לגמרי.

קופסה אטומה שבתוכה רץ קוד זר היא אחד המחסומים הבסיסיים באבטחת אפליקציות. ברגע שמוסיפים מעליה פיצ'ר חדש, תצוגה מקדימה או חלון קופץ, היא מפסיקה להיות אטומה עד שמישהו בודק אותה מחדש.