Check Point Research发现，ChatGPT代码块中的HTML预览功能存在漏洞，攻击者可借此绕过“锁定模式”。研究人员称，这条应用层攻击路径可能导致聊天数据被秘密外传，也可用于钓鱼和投送恶意软件。12

OpenAI在收到负责任披露后修复了问题。Check Point表示，复测确认相关攻击手法已无法奏效。17

“锁定模式”原本要防什么

“锁定模式”是一项可选的高级安全设置，旨在降低提示注入导致数据外泄的风险。OpenAI于2026年6月4日将其扩展至个人账户和自助注册的Business账户；启用后，它会限制或关闭部分联网及外部服务功能，例如实时网页浏览、Deep Research、Agent Mode、连接器和文件下载等。1013

这些限制主要针对ChatGPT及其连接工具可能发出的外部请求。Check Point发现的问题却出在另一处：ChatGPT如何显示代码块中的HTML预览。218

漏洞藏在预览弹窗权限里

据研究人员描述，HTML预览使用了多层沙箱框架，但仍保留了弹窗相关权限。攻击链利用嵌套的iframe及其 contentWindow.open 方法，使弹窗突破预览原有的沙箱限制。1218

因此，这并不是模型没有遵守安全指令，而是ChatGPT应用处理HTML内容和弹窗的方式存在漏洞。单靠限制联网工具，并不能自动保护这条独立的预览路径。12

可能造成什么影响？桌面版风险尤其值得注意

Check Point报告称，这一绕过方式可能被用于秘密窃取聊天数据、实施钓鱼攻击和投送恶意软件。2 研究人员还指出，在ChatGPT Classic中，攻击可能不需要用户额外点击：只要对话中出现攻击者控制的内容，就可能触发聊天数据外传。2

这里所说的“零交互”，并不意味着攻击者可以在用户完全没有接触恶意内容的情况下，随意访问任意账户；它指的是相关恶意内容进入对话后，受害者可能无需再采取操作。2

修复情况与证据边界

相关报道指出，OpenAI移除了促成该攻击的弹窗权限。Check Point表示，复测后确认该绕过方法已不再有效。17 一篇二手报道将修复日期列为2026年9月18日。20

现有报道支持这项漏洞的核心机制、可能影响及修复验证，但并不能证明所有HTML预览都可被利用，也不足以推断每一种可能的攻击投递方式。

另一项分享链接漏洞，与本次事件不同

Parameter Labs后来报告了另一项ChatGPT漏洞：攻击者可通过公开分享链接，在查看者已登录的ChatGPT会话中运行由攻击者控制的JavaScript。该机构称，OpenAI于10月26日确认修复。21 这是另一条独立的账户接管攻击链，并不意味着Check Point报告的“锁定模式”绕过问题仍未解决。21

两项发现共同说明，AI产品的安全边界不只在模型内部。渲染预览、沙箱权限、会话隔离，以及处理不可信内容的其他应用功能，都需要纳入安全设计。1221

Check Point Research发现，ChatGPT代码块中的HTML预览功能存在漏洞，攻击者可借此绕过“锁定模式”。研究人员称，这条应用层攻击路径可能导致聊天数据被秘密外传，也可用于钓鱼和投送恶意软件。12

OpenAI在收到负责任披露后修复了问题。Check Point表示，复测确认相关攻击手法已无法奏效。17

“锁定模式”原本要防什么

“锁定模式”是一项可选的高级安全设置，旨在降低提示注入导致数据外泄的风险。OpenAI于2026年6月4日将其扩展至个人账户和自助注册的Business账户；启用后，它会限制或关闭部分联网及外部服务功能，例如实时网页浏览、Deep Research、Agent Mode、连接器和文件下载等。1013

这些限制主要针对ChatGPT及其连接工具可能发出的外部请求。Check Point发现的问题却出在另一处：ChatGPT如何显示代码块中的HTML预览。218

漏洞藏在预览弹窗权限里

据研究人员描述，HTML预览使用了多层沙箱框架，但仍保留了弹窗相关权限。攻击链利用嵌套的iframe及其 contentWindow.open 方法，使弹窗突破预览原有的沙箱限制。1218

因此，这并不是模型没有遵守安全指令，而是ChatGPT应用处理HTML内容和弹窗的方式存在漏洞。单靠限制联网工具，并不能自动保护这条独立的预览路径。12

可能造成什么影响？桌面版风险尤其值得注意

Check Point报告称，这一绕过方式可能被用于秘密窃取聊天数据、实施钓鱼攻击和投送恶意软件。2 研究人员还指出，在ChatGPT Classic中，攻击可能不需要用户额外点击：只要对话中出现攻击者控制的内容，就可能触发聊天数据外传。2

这里所说的“零交互”，并不意味着攻击者可以在用户完全没有接触恶意内容的情况下，随意访问任意账户；它指的是相关恶意内容进入对话后，受害者可能无需再采取操作。2

修复情况与证据边界

相关报道指出，OpenAI移除了促成该攻击的弹窗权限。Check Point表示，复测后确认该绕过方法已不再有效。17 一篇二手报道将修复日期列为2026年9月18日。20

现有报道支持这项漏洞的核心机制、可能影响及修复验证，但并不能证明所有HTML预览都可被利用，也不足以推断每一种可能的攻击投递方式。

另一项分享链接漏洞，与本次事件不同

Parameter Labs后来报告了另一项ChatGPT漏洞：攻击者可通过公开分享链接，在查看者已登录的ChatGPT会话中运行由攻击者控制的JavaScript。该机构称，OpenAI于10月26日确认修复。21 这是另一条独立的账户接管攻击链，并不意味着Check Point报告的“锁定模式”绕过问题仍未解决。21

两项发现共同说明，AI产品的安全边界不只在模型内部。渲染预览、沙箱权限、会话隔离，以及处理不可信内容的其他应用功能，都需要纳入安全设计。1221