Check Point Research 發現，ChatGPT 顯示 HTML 預覽的沙盒曾可被利用，繞過 Lockdown Mode 的防護。研究人員指，漏洞可能令對話資料在用戶不知情下外傳，亦可用於釣魚和派送惡意軟件。12

OpenAI 在負責任披露後修補問題；Check Point 表示，重新測試後確認相關手法已經失效。12

Lockdown Mode 原本想防甚麼？

OpenAI 在 2026 年 6 月 4 日公布，將 Lockdown Mode 擴展至個人帳戶及自行訂閱的 Business 帳戶。這是一項可選的進階安全設定，目的是限制 ChatGPT 連接網絡及外部服務，減低提示注入令資料外傳的風險。1013

啟用後，部分連網功能可能受到限制或停用，包括即時網頁瀏覽、Deep Research、Agent Mode、連接器，以及檔案下載等。1013

但 Check Point 發現的問題，並非模型被誘導違反安全指示，而是另一處理 HTML 內容的產品功能：ChatGPT 會把程式碼區塊中的 HTML 渲染成預覽頁面。218

漏洞如何繞過沙盒？

根據研究人員描述，HTML 預覽使用了多層沙盒框架，但彈出視窗權限仍然開啟。攻擊者可利用巢狀 iframe，再透過 contentWindow.open 開啟彈出視窗，越過預覽沙盒原有的限制。1218

換言之，Lockdown Mode 對連接工具和外部服務的限制，未能單獨保護這條獨立的 HTML 預覽途徑。問題在於 ChatGPT 應用程式如何處理已渲染的內容和彈出視窗，而非模型本身的安全控制失效。12

研究人員提到哪些風險？

Check Point 指，這個繞過方法可能被用來暗中竊取對話資料、進行釣魚，或派送惡意軟件。2 研究人員亦表示，在 ChatGPT Classic 中，攻擊可能毋須用戶額外點擊；只要對話中出現由攻擊者控制的內容，就可能觸發資料外傳。2

這裏所說的「零互動」，不代表攻擊者毋須讓用戶接觸任何惡意內容，也不等於可以憑空入侵任意帳戶；它描述的是相關攻擊內容已進入對話後，ChatGPT Classic 中可能出現的行為。2

漏洞已修補，另有分享連結問題

報道指，OpenAI 移除了令這種手法得以運作的彈出視窗權限。Check Point 重新測試後表示，該方法已不再有效。17 另一篇報道將修補日期列為 2026 年 9 月 18 日。20

另外，Parameter Labs 後來披露了另一項 ChatGPT 問題：公開分享連結可能令攻擊者控制的 JavaScript 在瀏覽者已登入的 ChatGPT 工作階段中執行。該研究機構表示，OpenAI 在 10 月 26 日確認已修補問題。21 這是另一條獨立的帳戶接管攻擊鏈，並不代表 Check Point 所報告的 Lockdown Mode 漏洞仍未修好。21

兩宗個案反映一個實際的安全原則：保障 AI 產品，不能只靠限制模型行為。凡是會處理不可信內容的預覽、沙盒權限和登入工作階段等應用程式環節，同樣需要妥善保護。1221

Check Point Research 發現，ChatGPT 顯示 HTML 預覽的沙盒曾可被利用，繞過 Lockdown Mode 的防護。研究人員指，漏洞可能令對話資料在用戶不知情下外傳，亦可用於釣魚和派送惡意軟件。12

OpenAI 在負責任披露後修補問題；Check Point 表示，重新測試後確認相關手法已經失效。12

Lockdown Mode 原本想防甚麼？

OpenAI 在 2026 年 6 月 4 日公布，將 Lockdown Mode 擴展至個人帳戶及自行訂閱的 Business 帳戶。這是一項可選的進階安全設定，目的是限制 ChatGPT 連接網絡及外部服務，減低提示注入令資料外傳的風險。1013

啟用後，部分連網功能可能受到限制或停用，包括即時網頁瀏覽、Deep Research、Agent Mode、連接器，以及檔案下載等。1013

但 Check Point 發現的問題，並非模型被誘導違反安全指示，而是另一處理 HTML 內容的產品功能：ChatGPT 會把程式碼區塊中的 HTML 渲染成預覽頁面。218

漏洞如何繞過沙盒？

根據研究人員描述，HTML 預覽使用了多層沙盒框架，但彈出視窗權限仍然開啟。攻擊者可利用巢狀 iframe，再透過 contentWindow.open 開啟彈出視窗，越過預覽沙盒原有的限制。1218

換言之，Lockdown Mode 對連接工具和外部服務的限制，未能單獨保護這條獨立的 HTML 預覽途徑。問題在於 ChatGPT 應用程式如何處理已渲染的內容和彈出視窗，而非模型本身的安全控制失效。12

研究人員提到哪些風險？

Check Point 指，這個繞過方法可能被用來暗中竊取對話資料、進行釣魚，或派送惡意軟件。2 研究人員亦表示，在 ChatGPT Classic 中，攻擊可能毋須用戶額外點擊；只要對話中出現由攻擊者控制的內容，就可能觸發資料外傳。2

這裏所說的「零互動」，不代表攻擊者毋須讓用戶接觸任何惡意內容，也不等於可以憑空入侵任意帳戶；它描述的是相關攻擊內容已進入對話後，ChatGPT Classic 中可能出現的行為。2

漏洞已修補，另有分享連結問題

報道指，OpenAI 移除了令這種手法得以運作的彈出視窗權限。Check Point 重新測試後表示，該方法已不再有效。17 另一篇報道將修補日期列為 2026 年 9 月 18 日。20

另外，Parameter Labs 後來披露了另一項 ChatGPT 問題：公開分享連結可能令攻擊者控制的 JavaScript 在瀏覽者已登入的 ChatGPT 工作階段中執行。該研究機構表示，OpenAI 在 10 月 26 日確認已修補問題。21 這是另一條獨立的帳戶接管攻擊鏈，並不代表 Check Point 所報告的 Lockdown Mode 漏洞仍未修好。21

兩宗個案反映一個實際的安全原則：保障 AI 產品，不能只靠限制模型行為。凡是會處理不可信內容的預覽、沙盒權限和登入工作階段等應用程式環節，同樣需要妥善保護。1221