Check Point umgeht Lockdown Mode in ChatGPT – OpenAI hat die Lücke geschlossen

Den Lockdown Mode hatte OpenAI im Juni 2026 als optionale Einstellung eingeführt, um das Risiko eines Datenabflusses durch Prompt-Injection zu verringern. Die Funktion wirkt als zusätzliche Sicherheitsbarriere, indem sie ausgehende Netzwerkanfragen beschränkt, über die sensible Informationen an eine von Angreifern kontrollierte Infrastruktur übertragen werden könnten.

Ansatzpunkt des Angriffs sind die HTML-Seitenvorschauen in ChatGPT-Codeblöcken, die HTML-Inhalte direkt in der Anwendung darstellen. Da das Ausführen von nutzerseitig geliefertem HTML und JavaScript eigene Risiken mit sich bringt, wird dieser Inhalt in einer Sandbox ausgeführt, die weder Zugriff auf Daten der Anwendung wie Cookies und Local Storage erlaubt noch ohne Einwilligung der Nutzer eine Kommunikation mit externen Ressourcen zulässt.

Genau hier fand Check Point die Lücke. „Die HTML-Vorschau nutzte verschachtelte Sandbox-Frames, und während ChatGPT direkte Versuche abfing, neue Fenster zu öffnen, erlaubten die zugrunde liegenden Sandbox-Berechtigungen weiterhin Popups und gestatteten ihnen, die Sandbox zu verlassen", erklärte Eli Smadja, Forschungsleiter bei Check Point. Durch das Anlegen eines weiteren verschachtelten Frames innerhalb der gerenderten Seite sei es möglich gewesen, auf eine unveränderte Popup-Funktion zuzugreifen und die Beschränkungen der ursprünglichen HTML-Vorschau zu umgehen. Über diesen Weg geöffnete Inhalte unterlagen den Sandbox-Beschränkungen nicht mehr – und damit auch nicht den Schutzmechanismen des Lockdown Mode.

„Der Fehler konnte stillen Diebstahl von Chatdaten, Phishing und die Auslieferung von Schadsoftware ermöglichen, einschließlich Zero-Click-Datenabfluss in der ChatGPT-Desktop-Anwendung", so Smadja.

Sind die Beschränkungen einmal umgangen, kann ein Angreifer Daten und Chatnachrichten ausleiten oder schädliche Nutzlasten ausliefern – ausgelöst durch einen präparierten Prompt, ein bösartiges GPT oder einen geteilten Chat. Da der Angreifer den im Popup-Fenster dargestellten Inhalt vollständig kontrolliert, lassen sich damit auch überzeugende Social-Engineering-Köder anzeigen, etwa ein vorgetäuschtes ChatGPT-Update, das Opfer zum Klick auf einen Link und zum Herunterladen von Schadsoftware verleiten soll.

Das zugrunde liegende Problem beschränkt sich nicht auf die Electron-basierte Desktop-Umgebung. Es zeigt, wie Schwächen außerhalb des eigentlichen KI-Modells die Sicherheitskontrollen einer KI-Anwendung untergraben können. „Der Lockdown Mode war gezielt dafür gedacht, die Möglichkeit zu verringern, dass Daten über potenziell bösartige ausgehende Anfragen eine Konversation verlassen, doch eine Schwäche in einer anderen Anwendungsfunktion bot einen alternativen Weg um diese Sicherheitsgrenze herum", sagte Smadja. Für Unternehmen ergebe sich daraus eine grundsätzliche Frage: „KI-Sicherheitskontrollen sind nur so stark wie die umgebende Anwendungsumgebung."

Die Offenlegung folgt eine Woche auf eine Veröffentlichung von Parameter Labs. Die Forscher beschrieben einen Weg, die Sandbox und die Content Security Policy (CSP) von ChatGPT zu umgehen und ein beliebiges Konto zu übernehmen – allein dadurch, dass dem Opfer ein vom Angreifer kontrollierter öffentlicher ChatGPT-Freigabelink geschickt und es zu einem einzigen Klick auf die HTML-Vorschau bewegt wird. Ist der HTML-Block als vorschaufähig markiert, öffnet er sich automatisch. „Ein Angreifer könnte eine bösartige Konversation anlegen, sie über die normale Freigabefunktion von ChatGPT veröffentlichen und den Link an einen anderen Nutzer senden", sagte der Sicherheitsforscher Mukul Goyal. „Wenn das Opfer die Freigabe öffnete, wurde die Nutzlast als chatgpt[.]com mit Zugriff auf die authentifizierte Websitzung des Opfers ausgeführt."

Bereits im September demonstrierte Check Point zudem einen verdeckten kontenübergreifenden Befehlskanal: Darüber konnte ein Angreifer die ChatGPT-Sitzung eines Opfers nutzen, um versteckte Aufgaben mit den Werkzeugen, Daten und verbundenen Anwendungen dieser Sitzung parallel zur sichtbaren Konversation auszuführen. „Das Opfer konnte eine normale Antwort auf seine sichtbare Anfrage erhalten, während die Aufgabe des Angreifers separat verarbeitet und ihr Ergebnis kontenübergreifend zurückgegeben wurde", so Check Point. Der Kanal habe über die Code-Ausführungsumgebungen verschiedener ChatGPT-Konten funktioniert. Die versteckte Anweisung ließ sich über einen bösartigen Prompt, eine geteilte Konversation oder ein benutzerdefiniertes GPT einschleusen; war sie im Kontext der Konversation vorhanden, konnte eine gewöhnliche Nachricht die vom Angreifer gesteuerte Aufgabe auslösen, ohne dass dies in der sichtbaren Antwort erkennbar wurde.

Die Funde reihen sich in eine Serie von Sicherheitsmängeln in KI-gestützten Werkzeugen und Diensten der vergangenen Monate ein, mit denen sich Systeme zur Preisgabe von Geheimnissen oder zu unbefugten Aktionen verleiten lassen:

• SkillJacking: Der Angriff kapert Abhängigkeiten, die von Skills genutzt werden – Repositories, Pakete, Domains oder Cloud-Anwendungen – und kompromittiert so jeden Agenten, der sie installiert.
• Embrace (EMbedded BRowser – Arbitrary Code Execution, Arbitrary Content Exfiltration, Arbitrary Context Emulation): Schwachstellen in den eingebauten Browsern von fünf KI-Coding-Assistenten – Cursor, GitHub Copilot, OpenAI Codex, Microsoft Visual Studio Code und Anthropic Claude Desktop – erlauben Codeausführung auf dem Hostsystem, das Lesen und Entwenden von Dateien sowie das Fälschen der Adressleiste.
• Repeat-After-Me: Die Technik richtet sich gegen LangChain LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents und CrewAI und bringt sie über eine „scheinbar harmlose Aufforderung zur Textwiederholung" dazu, Tool-Aufrufe auszuführen.
• AgentCorruption: Angreifer können mit einem exponierten KI-Agenten auf AWS Bedrock AgentCore interagieren, ihn per Prompt-Injection beeinflussen, seine IMDS-Zugangsdaten auslesen und damit auf andere Agenten zugreifen, private Konversationen lesen, Anmeldedaten verbundener Werkzeuge stehlen und das Verhalten von Agenten manipulieren.
• Cryptographic Context Injection: Die Schwachstelle in SpaceXSI Grok und GitHub Copilot CLI erlaubt es, über eine einzige Webseite lokale Dateien eines Entwicklers auszulesen und an einen externen Server zu senden; die indirekte Prompt-Injection versteckt die Anweisungen in AES-verschlüsseltem Text.
• SalesBleed: Die Zero-Click-Schwachstelle erlaubt das Auslesen sensibler Kontodaten aus Salesforce Agentforce, indem über das Web-to-Lead-Formular eine indirekte Prompt-Injection platziert wird.
• not-a-mused: Der Proof-of-Concept zeigt, wie ein lokaler Angreifer oder Prozess ohne Privilegien den Diktier-Datenverkehr von Meta Muse umleiten und die dem KI-Assistenten erteilten Berechtigungen für beliebige Aktionen missbrauchen kann.
• Plugin4Shell: Die Zero-Click-Schwachstelle ermöglicht einen Angriff auf die KI-Lieferkette, indem ein vertrauenswürdiges Plugin unbemerkt durch ein bösartiges ersetzt und dabei das SHA-Pinning ausgehebelt wird. „Der Agent checkt genau den Commit aus, den der Marktplatz gepinnt hat, überprüft aber nie, ob er dort gelandet ist – ein Angreifer, der das Repository des Plugins kontrolliert, sorgt dafür, dass der Checkout auf bösartigen Code auflöst, während die Fixierung weiterhin eingehalten aussieht", so Air Security. Ergebnis sei Zero-Click-Codeausführung aus der Ferne quer über Claude Code, Codex, GitHub Copilot und Gemini CLI.
• BragJack: Der Angriff kapert die in Browser eingebauten KI-Agenten – etwa in Google Chrome, Microsoft Edge, Opera Neon, Perplexity Comet und Anthropic Claude in Chrome – mittels einer bereits installierten bösartigen Browser-Erweiterung in Kombination mit Prompt Forcing.
• Sampling Drift: Der Verhaltenseffekt zeigt, dass ein unsichtbares Wasserzeichen in der Ausgabe eines großen Sprachmodells dessen Verhalten unbeabsichtigt verändert, bis hin zu den Werkzeugen, die ein KI-Agent aufruft, und Sicherheitsverweigerungen vermutlich schwächt. „Wasserzeichen verändern das Verweigerungsverhalten bei offen schädlichen Anfragen, doch der Effekt ist stärker ausgeprägt, wenn dieselben Anfragen mit der Prompt-Injection-Technik kombiniert werden", so Lasso Security. Bei mehreren Modellen führe das Wasserzeichen dazu, dass sie schädliche Anfragen eher beantworten, die sie sonst ablehnen würden.
• Angriffe auf KI-Agenten im Kundensupport, die diese dazu bringen, Phishing-Mails zu verfassen und zu versenden, Tool-Aufrufe auszulösen und Mehrfaktor-Authentifizierung zu umgehen.
• PuzzleMask: Die Prompt-Technik umgeht schnelle, LLM-basierte Richtlinienprüfungen eines leichtgewichtigen Gatekeeper-Modells, indem die schädliche Anweisung in einen speziell gestalteten Prosa-Rahmen eingebettet wird; die Nutzlast wird anschließend vom leistungsfähigeren Zielmodell verarbeitet und löst dort schädliche Aktionen aus.
• Workflow Identity Hijacking: Angreifer umgehen übliche Kontrollen, indem sie normale, harmlose Anfragen über einen nicht authentifizierten Einstiegspunkt senden, woraufhin die KI-Pipeline des Unternehmens die Anfrage verarbeitet und die Aktion wie vorgesehen ausführt. „Das Kernversagen besteht darin, dass der Anfragende keinerlei Befugnis hatte, diese Anfrage zu stellen", erklärte Noma Security. Führe ein KI-Workflow nachgelagerte Aktionen aus, geschehe dies mit hochprivilegierten Dienstkonten oder Entwickler-API-Schlüsseln statt mit den Berechtigungen des externen Nutzers – KI-Workflows würden so zu nicht authentifizierten Stellvertretern für privilegierte Aktionen und stillen Datenabfluss.
• PleaseFix: Die Zero-Click-Schwachstellenklasse erlaubt es, in agentischen Browsern eingebettete KI-Agenten zu kapern, indem bösartige Anweisungen in E-Mails, Kalendereinladungen oder Webseiten platziert werden. Über eine als Intent Collision bezeichnete Technik handelt der Agent „im Auftrag des Angreifers unter Nutzung der eigenen Identität, Berechtigungen und Zugriffe des Nutzers".
• Schwachstellen in KI-Coding-Agenten von Anthropic, Google und OpenAI, mit denen sich Geheimnisse eines Opfers abgreifen, durch Änderung der Datei AGENTS.md eine dauerhafte Vergiftung der Anweisungen erreichen und Software-Releases über Prompt-Injections in nicht vertrauenswürdigen Eingaben wie GitHub-Issues kompromittieren lassen.

„Agenten werden zur Standardinfrastruktur quer durch CI/CD, Messaging, Triage, Incident Response und Support", erklärte Novee Security. „Je autonomer sie werden, desto mehr entscheidet das Harness an Ihrer Stelle darüber, was sicher ist, und desto mehr nicht vertrauenswürdige Eingaben erreichen die tatsächliche Ausführung."