// CLUBIC — INTELLIGENZA ARTIFICIALE
Même avec son mode de verrouillage activé, ChatGPT laissait fuiter des conversations
Le mode Lockdown de ChatGPT permet de protéger vos échanges, mais un pirate pouvait malgré tout récupérer vos messages avec une page HTML piégée, sans le moindre clic de votre part dans l’application de bureau ChatGPT Classic. OpenAI a corrigé la faille en septembre, après le signalement de Check Point Research.
OpenAI a conçu le mode Lockdown contre l’injection de prompt, une attaque où le pirate cache des instructions dans une page web ou un document pour faire obéir l’IA à ses ordres. L’entreprise l’a d’abord réservé à ses offres pour les entreprises et les écoles, puis l’a ouvert en juin à tous les comptes, gratuits compris, dans la rubrique Sécurité des paramètres. Une fois le réglage activé, vous perdez la navigation en direct, Deep Research et le mode Agent, et ChatGPT ne télécharge plus aucun fichier. OpenAI coupe ainsi les requêtes vers l’extérieur, par lesquelles un pirate ferait partir vos données. Check Point Research a pourtant trouvé une sortie que le mode Lockdown ne surveillait pas, dans la fenêtre où ChatGPT affiche l’aperçu des pages HTML qu’il écrit.
Lorsque vous demandez une page web à ChatGPT, il vous montre directement le résultat dans la conversation. Pour éviter qu’un code malveillant touche à vos échanges, OpenAI place cet aperçu dans des iframes, des fenêtres isolées à l’intérieur de l’application, et les enferme dans un bac à sable aux droits limités.
L’entreprise avait toutefois laissé au cadre extérieur le droit d’ouvrir des fenêtres pop-up. Alexey Bukhteyev, le chercheur de Check Point à l’origine de la découverte, a donc glissé une seconde iframe dans sa page piégée. Il a ensuite ouvert sa fenêtre depuis cette iframe enfant, et non depuis la page principale, dont OpenAI avait bridé la fonction d’ouverture de fenêtres. Le navigateur affichait alors la pop-up à l’extérieur du bac à sable, et le pirate faisait tourner son code HTML dans cette fenêtre sans aucune restriction du mode Lockdown. Il lui fallait seulement vous amener à discuter avec un GPT personnalisé de sa conception, ces versions de ChatGPT configurées par n’importe qui et partagées en ligne.
Grâce à cette fenêtre, Check Point a réussi à contourner le mode Lockdown de plusieurs façons. L’attaquant pouvait afficher une fausse mise à jour de ChatGPT, avec l’icône de l’application mais son titre et son contenu à lui, pour vous faire installer un logiciel malveillant. Si vous étiez déconnecté, il pouvait aussi rediriger la fenêtre principale vers une fausse page de connexion et récupérer vos identifiants. Pour le logiciel malveillant, il fallait quand même que vous cliquiez sur le lien de téléchargement.
« La faille pouvait permettre le vol silencieux des données de conversation, l’hameçonnage et la diffusion de logiciels malveillants, avec une exfiltration sans clic dans l’application de bureau de ChatGPT », explique Eli Smadja, directeur de la recherche chez Check Point.
Dans ChatGPT Classic, l’ancienne application de bureau d’OpenAI pour Windows et macOS, le pirate se passait de votre clic. OpenAI a construit cette application avec Electron, l’outil des développeurs pour transformer un site web en logiciel pour ordinateur, et dans cette version, le navigateur intégré ouvrait une fenêtre à la demande d’une page sans attendre le moindre geste de votre part. Il suffisait donc de discuter avec le GPT piégé pour que vos messages soient envoyés au serveur de l’attaquant, sans aucun signe à l’écran.
Check Point a signalé la faille à OpenAI, et l’entreprise a retiré le 18 septembre les deux permissions du bac à sable à l’origine du problème. Les chercheurs ont refait le test et confirment que leur technique ne fonctionne plus.
Si vous utilisez encore ChatGPT Classic, gardez en tête qu’OpenAI fermera l’application le 30 janvier 2027. Vous pouvez dès aujourd’hui installer la nouvelle application de bureau, et vous retrouverez tout votre historique en vous connectant avec votre compte habituel. Si vous confiez à ChatGPT des documents sensi