Researchers Bypass ChatGPT Lockdown Mode to Exfiltrate Chats Without User Interaction

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad re­ve­la­ron de­ta­lles sobre una vul­ne­ra­bi­li­dad ya co­rre­gi­da que per­mi­tía sor­tear las pro­tec­cio­nes del modo de blo­queo en la apli­ca­ción de es­cri­to­rio de in­te­li­gen­cia ar­ti­fi­cial. Este me­ca­nis­mo había sido in­cor­po­ra­do para mi­ti­gar los ries­gos de ex­fil­tra­ción de datos pro­vo­ca­dos por in­yec­cio­nes de co­man­dos, li­mi­tan­do las so­li­ci­tu­des de red sa­lien­tes. El fallo ra­di­ca­ba en la forma en que se ges­tio­na­ban las ven­ta­nas emer­gen­tes du­ran­te las vis­tas pre­vias de có­di­go HTML, lo que po­si­bi­li­ta­ba es­ca­par del en­torno ais­la­do ori­gi­nal.

El pro­ble­ma sur­gió por­que las vis­tas pre­vias uti­li­za­ban mar­cos ani­da­dos y, aun­que se blo­quea­ban los in­ten­tos di­rec­tos de abrir nue­vas ven­ta­nas, los per­mi­sos sub­ya­cen­tes per­mi­tían el uso de fun­cio­nes de ven­ta­nas emer­gen­tes para eva­dir el en­torno ais­la­do. Al crear un marco adi­cio­nal den­tro de la pá­gi­na ren­de­ri­za­da, se podía ac­ce­der a una fun­ción sin mo­di­fi­car y su­pe­rar las res­tric­cio­nes de se­gu­ri­dad. Esto per­mi­tía a los ata­can­tes ex­traer in­for­ma­ción con­fi­den­cial, robar chats o dis­tri­buir soft­wa­re ma­li­cio­so me­dian­te in­ter­ac­cio­nes di­se­ña­das.

Tras una di­vul­ga­ción res­pon­sa­ble, el pro­ble­ma fue so­lu­cio­na­do por los crea­do­res de la pla­ta­for­ma. Este des­cu­bri­mien­to re­sal­ta que los con­tro­les de se­gu­ri­dad en la in­te­li­gen­cia ar­ti­fi­cial de­pen­den de la so­li­dez del en­torno de apli­ca­ción que los rodea, ya que las de­bi­li­da­des ex­ter­nas pue­den com­pro­me­ter las de­fen­sas pre­vis­tas con­tra la ex­fil­tra­ción de datos.