Check Point Research 發現，ChatGPT 顯示 HTML 預覽的沙盒曾存在漏洞，可能讓攻擊者繞過「鎖定模式」（Lockdown Mode），造成對話資料遭悄悄外傳、網路釣魚及惡意程式散播。研究人員指出，這是 ChatGPT 應用程式處理預覽內容時的弱點，並非模型本身未遵守安全指示。12

OpenAI 在收到負責任的漏洞通報後修補問題；Check Point 表示，重新測試後確認原先描述的攻擊手法已無法運作。17

「鎖定模式」原本要防什麼？

OpenAI 在 2026 年 6 月 4 日宣布，將「鎖定模式」推廣至個人帳戶及自行訂閱的 ChatGPT Business 帳戶。這項選用的進階安全設定，目的是透過限制網路及外部服務存取，降低提示注入攻擊誘使 ChatGPT 或連接工具外傳資料的風險。1013

啟用後，部分網路連線功能可能受到限制或停用，例如即時網頁瀏覽、Deep Research、Agent Mode、連接器及檔案下載。實際限制會依功能而異。1013

但這次發現的問題出在另一個環節：ChatGPT 會在程式碼區塊中呈現 HTML 預覽，而這項應用程式功能並未受到「鎖定模式」對連接工具所設限制的充分保護。218

漏洞如何繞過預覽沙盒？

依據研究人員描述，HTML 預覽使用了多層沙盒框架，但彈出視窗相關權限仍然保留。攻擊手法利用巢狀 iframe，再透過其 contentWindow.open 開啟彈出視窗，繞過預覽原有的沙盒限制。1218

換句話說，這不是模型被說服而違反安全規則，而是 ChatGPT 在處理已呈現內容及彈出視窗時，存在另一條可被利用的路徑。限制連接工具的「鎖定模式」，本身並不足以保護這項獨立的預覽功能。12

研究人員指出哪些風險？

Check Point 表示，這項弱點可能被用來悄悄竊取對話資料、進行網路釣魚，或散播惡意程式。2

研究人員特別指出，在 ChatGPT Classic 中，攻擊可能不需要使用者再點擊或採取其他操作；只要對話中出現攻擊者控制的內容，就可能觸發資料外傳。2 這裡所說的「零互動」，並不代表攻擊者可以在完全沒有惡意內容接觸的情況下，任意入侵任何帳戶，而是描述相關內容進入對話後，研究中觀察到的行為。2

修補結果與仍須留意的界線

相關報導指出，OpenAI 移除了讓這種手法得以運作的彈出視窗權限；Check Point 重新測試後確認，該手法已不再有效。17 另有二手報導將修補日期列為 2026 年 9 月 18 日。20

目前資料支持的結論，是漏洞曾存在、可能造成上述風險，而且研究人員確認原手法已失效。這些資料並未證明所有 HTML 預覽都可被利用，也不足以推論每一種可能的攻擊傳遞方式都曾被證實。

另一項分享連結漏洞，是不同事件

Parameter Labs 後來另行通報 ChatGPT 的一項問題：公開分享連結可能在瀏覽者已登入的 ChatGPT 工作階段中執行攻擊者控制的 JavaScript。該機構表示，OpenAI 在 10 月 26 日確認已修補問題。21

這是另一條涉及帳戶接管的攻擊鏈，不能據此認定 Check Point 所指出的「鎖定模式」漏洞仍未修補。21

兩起事件都凸顯同一項安全原則：保護 AI 產品不能只靠約束模型行為。凡是會處理不受信任內容的功能——包括 HTML 預覽、沙盒權限與工作階段邊界——也都必須納入安全設計。1221

Check Point Research 發現，ChatGPT 顯示 HTML 預覽的沙盒曾存在漏洞，可能讓攻擊者繞過「鎖定模式」（Lockdown Mode），造成對話資料遭悄悄外傳、網路釣魚及惡意程式散播。研究人員指出，這是 ChatGPT 應用程式處理預覽內容時的弱點，並非模型本身未遵守安全指示。12

OpenAI 在收到負責任的漏洞通報後修補問題；Check Point 表示，重新測試後確認原先描述的攻擊手法已無法運作。17

「鎖定模式」原本要防什麼？

OpenAI 在 2026 年 6 月 4 日宣布，將「鎖定模式」推廣至個人帳戶及自行訂閱的 ChatGPT Business 帳戶。這項選用的進階安全設定，目的是透過限制網路及外部服務存取，降低提示注入攻擊誘使 ChatGPT 或連接工具外傳資料的風險。1013

啟用後，部分網路連線功能可能受到限制或停用，例如即時網頁瀏覽、Deep Research、Agent Mode、連接器及檔案下載。實際限制會依功能而異。1013

但這次發現的問題出在另一個環節：ChatGPT 會在程式碼區塊中呈現 HTML 預覽，而這項應用程式功能並未受到「鎖定模式」對連接工具所設限制的充分保護。218

漏洞如何繞過預覽沙盒？

依據研究人員描述，HTML 預覽使用了多層沙盒框架，但彈出視窗相關權限仍然保留。攻擊手法利用巢狀 iframe，再透過其 contentWindow.open 開啟彈出視窗，繞過預覽原有的沙盒限制。1218

換句話說，這不是模型被說服而違反安全規則，而是 ChatGPT 在處理已呈現內容及彈出視窗時，存在另一條可被利用的路徑。限制連接工具的「鎖定模式」，本身並不足以保護這項獨立的預覽功能。12

研究人員指出哪些風險？

Check Point 表示，這項弱點可能被用來悄悄竊取對話資料、進行網路釣魚，或散播惡意程式。2

研究人員特別指出，在 ChatGPT Classic 中，攻擊可能不需要使用者再點擊或採取其他操作；只要對話中出現攻擊者控制的內容，就可能觸發資料外傳。2 這裡所說的「零互動」，並不代表攻擊者可以在完全沒有惡意內容接觸的情況下，任意入侵任何帳戶，而是描述相關內容進入對話後，研究中觀察到的行為。2

修補結果與仍須留意的界線

相關報導指出，OpenAI 移除了讓這種手法得以運作的彈出視窗權限；Check Point 重新測試後確認，該手法已不再有效。17 另有二手報導將修補日期列為 2026 年 9 月 18 日。20

目前資料支持的結論，是漏洞曾存在、可能造成上述風險，而且研究人員確認原手法已失效。這些資料並未證明所有 HTML 預覽都可被利用，也不足以推論每一種可能的攻擊傳遞方式都曾被證實。

另一項分享連結漏洞，是不同事件

Parameter Labs 後來另行通報 ChatGPT 的一項問題：公開分享連結可能在瀏覽者已登入的 ChatGPT 工作階段中執行攻擊者控制的 JavaScript。該機構表示，OpenAI 在 10 月 26 日確認已修補問題。21

這是另一條涉及帳戶接管的攻擊鏈，不能據此認定 Check Point 所指出的「鎖定模式」漏洞仍未修補。21

兩起事件都凸顯同一項安全原則：保護 AI 產品不能只靠約束模型行為。凡是會處理不受信任內容的功能——包括 HTML 預覽、沙盒權限與工作階段邊界——也都必須納入安全設計。1221