OpenAI の ChatGPT に用意された ロックダウンモード（Lockdown Mode） が、回避できる状態だったことを Check Point が報告した（The Hacker News 報道・ユーザー提供）。ロックダウンモードは、プロンプトインジェクションによるデータ漏洩を抑える任意設定として2026年6月に導入されたもの。だが、コードブロックの HTML プレビューのポップアップ処理に抜け穴があり、サンドボックスを脱出してロックダウンモードを回避、クリック不要のデータ流出まで可能だった、という。OpenAI は2026年9月18日に修正済みだ。まずは報道元のポストを置く。

30秒でわかる（2026-11-06・報道ベース）

  • ・コードブロックのHTMLプレビューが起点。ネストしたサンドボックス＋ポップアップでサンドボックス脱出
  • ・ロックダウンモード（外部送信の制限）を回避→サイレントなデータ流出・フィッシング・マルウェア配信の恐れ
  • ・OpenAIが2026-09-18に修正済み。利用者はデスクトップアプリを最新に
  • ・教訓：AIの安全対策は“土台アプリ”の強度に依存する（AI範囲外の穴がAIの制御を崩す）

AIセキュリティと更新運用の土台は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 にまとめている。直近では APT の深刻な脆弱性 CVE-2026-109518 や Firebase iOS SDK の証明書問題 も扱った。以下は Check Point の報告（The Hacker News 報道・ユーザー提供）を一次資料とした整理で、原レポートは本記事では独立検証していない。攻撃の再現手順は扱わない（防御が目的）。

何が起きたのか——Lockdown Modeがポップアップで回避された

ChatGPT のコードブロックには、HTML をその場でプレビュー描画する機能がある。ユーザー提供の HTML/JS を実行することはリスクなので、コンテンツはサンドボックスに置かれ、Cookie やローカルストレージといったアプリのデータにアクセスできない。さらにロックダウンモードが、同意なしに外部リソースと通信すること（＝攻撃者インフラへの機密送信）を制限する“壁”として働く。

THE BYPASS回避の流れ

HTMLプレビュー → ポップアップで脱出 → Lockdown回避

  1. 1

    HTMLプレビューでアプリ内描画

    ChatGPT のコードブロックの HTML プレビューが、HTML/JS をアプリ内で直接レンダリングする

  2. 2

    サンドボックス＋Lockdown Mode

    本来は入れ子サンドボックスで隔離し、Lockdown Mode（2026-06 導入）が外部への送信要求を制限する

  3. 3

    ポップアップでサンドボックス脱出

    ネストしたフレームを作り未変更のポップアップ機能へ。ポップアップがサンドボックスを脱出し、元の制限の外に出る

  4. 4

    Lockdown回避→被害の恐れ

    クリック不要のデータ流出・サイレントなチャット窃盗・フィッシング・マルウェア配信が可能になりうる（Check Point 報告）

出典: Check Point（Eli Smadja）の報告を The Hacker News が報道（ユーザー提供・2026-11-06 確認）。再現手順は非掲載

Check Point が見つけたのは、HTML プレビュー中のポップアップの扱いにある穴だ。報告（Eli Smadja 氏）によれば、「HTML プレビューは入れ子のサンドボックスフレームを使っていたが、ChatGPT は新しいウィンドウを開く直接の試みは傍受したものの、基盤のサンドボックス権限ではポップアップが許可されており、ポップアップがサンドボックスを脱出することを許してしまった」。レンダリング済みページ内にさらにネストしたフレームを作ると、変更されていないポップアップ機能にアクセスでき、元の HTML プレビューに課された制限を回避できた——この方法で開いたコンテンツは同じサンドボックス制限を受けないため、ロックダウンモードの保護を迂回する手段になった、という。

制限を回避できると、細工したプロンプト・悪意ある GPT・共有チャットを通じて、データやチャットメッセージの抜き取り、悪意あるペイロードの配信が可能になると報告されている。さらに、ポップアップに出す内容を攻撃者が完全に制御できるため、「偽の ChatGPT アップデート」のようなソーシャルエンジニアリングでリンクを踏ませる手口も示された。繰り返すが、これらは可能性として報告されたもので、OpenAI の修正（2026-09-18）で塞がれている。

なぜ効いたのか——AIの安全対策はアプリ環境に依存する

この件の本質は、ChatGPT という“AI”の賢さの問題ではない。AIの範囲外にあるアプリ機能（ポップアップ／サンドボックスの処理）の穴が、AIのために用意したセキュリティ境界を崩した点にある。

THE LESSONAIの安全はアプリ環境に依存

想定していた防御と、実際に空いた穴

想定していた防御

  • Lockdown Mode が外部送信を制限
  • 入れ子サンドボックスで隔離
  • Cookie/localStorage へ非アクセス
  • 同意なしの外部通信を防止

実際に空いた穴

  • 別機能＝ポップアップ処理の抜け穴
  • サンドボックス権限がポップアップを許可
  • 脱出後は同一サンドボックス制限の外
  • AIの境界をアプリ側の穴で回避
出典: 同報告（2026-11-06 確認）。『AIの安全対策は、支えるアプリ環境全体の強度に左右される』

たとえるなら、家の金庫（AI会話のデータ）に厳重な鍵をかけても、勝手口（ポップアップ）が開いていれば中身は運び出せる、という構図だ。鍵（ロックダウンモード）そのものは機能していたのに、設計上そこを通らない別の出口が残っていた。AI の“賢さ”や会話フィルタをいくら強めても、出口の一つが塞がっていなければデータは出ていく——防御は最も弱い経路で決まる、という古典的な原則が、AI 製品でもそのまま効いている。

ロックダウンモードは「AI会話からのデータ流出を、悪意ある送信リクエストを通じて起こされる可能性を下げる」ことが目的だった。ところが、別のアプリ機能の脆弱性が、そのセキュリティ境界を回避する“別経路”を与えてしまった。Smadja 氏の言葉を借りれば、「AIのセキュリティ対策は、それを支えるアプリケーション環境全体の強度に左右される」。Electron ベースのデスクトップに限った話ではなく、AIの制御を、その周りのアプリ（ブラウザ的機能・プレビュー・拡張）の堅牢さが決めるという、企業セキュリティ全般への問いだ。

周辺で相次ぐ“アプリ側を突く”AIセキュリティ開示

この開示は単発ではなく、同時期にAI製品のアプリ層を突く報告が相次いでいる（各研究者/ベンダーの報告。本記事は未独立検証）。特定ベンダーを責める趣旨ではなく、OpenAI・Anthropic・Google・Microsoft などの製品が横断的に対象になっている点がむしろ要点だ。

AROUND THE SAME TIME周辺で相次ぐ同種（各社報告）

“土台のアプリ側”を突くAIセキュリティ開示

  1. 1.ChatGPT 共有リンクの乗っ取り（Parameter Labs）

    公開共有リンクの HTML プレビューを1回クリックで chatgpt.com としてペイロード実行→認証済みセッションにアクセス、と報告

  2. 2.Embrace（埋め込みブラウザ）

    Cursor・GitHub Copilot・OpenAI Codex・VS Code・Claude Desktop の内蔵ブラウザで、任意コード実行/漏洩/アドレスバー偽装の恐れ、と報告

  3. 3.Plugin4Shell（SHAピン留め回避）

    信頼プラグインを悪意版にすり替え。Claude Code・Codex・Copilot・Gemini CLI でゼロクリックRCEの恐れ、と報告

  4. 4.共通の教訓

    信頼できない入力が“実行段”まで届く設計が根本。AIの安全はアプリ環境全体の強度に依存する

出典: The Hacker News のまとめ（各研究者/ベンダーの報告・ユーザー提供・2026-11-06 確認）。各件は未独立検証
  • ChatGPT 共有リンクのアカウント乗っ取り（Parameter Labs）：公開共有リンクの HTML プレビューを一度クリックさせるだけで、ペイロードが chatgpt[.]com として実行され、被害者の認証済みセッションにアクセスできた、と報告（本件の約1週間前）。
  • Embrace（埋め込みブラウザ）：Cursor・GitHub Copilot・OpenAI Codex・Microsoft VS Code・Anthropic Claude Desktop の内蔵ブラウザに、ホスト上でのコード実行・ファイル漏洩・アドレスバー偽装に悪用されうる脆弱性群、と報告。
  • Plugin4Shell（SHA ピン留め回避）：信頼されたプラグインを悪意あるものと静かにすり替え、Claude Code・Codex・GitHub Copilot・Gemini CLI 全体でゼロクリック RCE が可能になりうる、と報告。

共通するのは「信頼できない入力が“実行段”まで届く」設計の弱さだ。プロンプトインジェクション、共有チャット、プラグイン供給、埋め込みブラウザ——入口は違っても、AI の自律性が上がるほど、システム側が“何が安全か”を判断する割合が増え、信頼できない入力が実行に至るリスクが高まる。

影響範囲と現在の状態

報道の範囲で整理すると、対象と状態は次のとおりだ。影響を受けたのは、2026-09-18 の修正より前の ChatGPT デスクトップアプリの HTML プレビュー機能で、すでに塞がれている。

項目 内容
対象 ChatGPT デスクトップアプリ（Electron）の HTML プレビュー機能
影響を受けた状態 2026-09-18 の修正より前のバージョン
影響（報告） ロックダウンモード回避による、サイレントなデータ流出・フィッシング・マルウェア配信の恐れ
成立条件 細工プロンプト／悪意ある GPT／共有チャット経由で HTML プレビューを踏ませる
現在の状態 OpenAI が 2026-09-18 に修正済み。CVE 付与は報道時点で記載なし

「ロックダウンモードを使っていたか」に関わらず、修正適用後のバージョンを使うことが前提になる。ロックダウンモードは“任意設定”だが、今回の経路はその設定の内外を問わず問題だった点に注意したい。

開発者・利用者が取るべきこと

すでに修正済みの個別脆弱性だが、持ち帰るべき“型”は残る。

  • 利用者：ChatGPT デスクトップアプリを最新に更新する。心当たりのない共有リンクや「ChatGPTのアップデート」と称するポップアップのリンクを不用意に踏まない。更新しても“うまい誘導”への注意は引き続き必要で、修正を当てること＝無敵になること、ではない。
  • AIアプリを作る開発者：プレビュー・WebView・ポップアップ・拡張など、AIの外側のアプリ機能が安全境界の“裏口”になっていないかを監査する。サンドボックスは「新規ウィンドウを傍受する」だけでなく、ネストやポップアップの権限継承まで含めて閉じる。「AIモデルは拒否するはず」に寄りかからず、信頼できない入力が実行段へ届かない設計にする。
  • 組織：AIのセキュリティ評価を“モデル単体”で終わらせない。モデルを載せるアプリ環境（デスクトップ・ブラウザ・プラグイン供給）まで含めて脅威モデルを引く。

まとめ

  • ・ChatGPT のロックダウンモードが、HTML プレビューのポップアップ処理の穴でサンドボックス脱出→回避されていた（Check Point 報告）。
  • ・クリック不要のデータ流出・フィッシング・マルウェア配信の恐れ。OpenAI が2026-09-18に修正済み。
  • ・教訓：AIの安全対策は、支えるアプリ環境全体の強度に依存する（AI範囲外の穴がAIの制御を崩す）。
  • ・同時期に ChatGPT 共有リンク乗っ取り・Embrace・Plugin4Shell 等、ベンダー横断の“アプリ側”開示が相次ぐ。

参照ソース