ChatGPTのLockdown Mode回避の脆弱性、HTMLプレビュー経由で情報流出
ChatGPTLockdown Modeプロンプトインジェクション情報漏えいCheck Point
Check Point Researchは、ChatGPTのHTMLプレビュー機能を経由してLockdown Mode（プロンプトインジェクション対策の設定）の保護を回避できる問題を公表した。会話履歴やアップロードしたファイルの外部送信、ChatGPT風のポップアップによるフィッシング、更新を装ったマルウェア配布につながる恐れがあった。OpenAIは2026年9月18日に修正済み。
何が発表されたか
Check Point Research は2026年11月5日、ChatGPT の Lockdown Mode を回避できる脆弱性の調査結果を公開した（執筆: Alexey Bukhteyev）。Lockdown Mode は、プロンプトインジェクションによって会話中のデータが外部に送信されるのを防ぐための任意設定として提供されている機能である。
問題があったのは、2026年2月に ChatGPT のコードブロックへ追加された HTML ページプレビュー機能。プレビューを包む外側の sandbox iframe にポップアップを許可する権限が付いていたため、サンドボックスの外側で HTML が動作しうる状態になっていた。Check Point はこれにより次の影響が生じうると説明している。
- 会話履歴やアップロード済みファイルが、利用者に気づかれずに外部へ送信される
- ChatGPT の画面を模したポップアップや強制サインアウトを使った認証情報の窃取
- アプリの更新を装ったマルウェアの配布
デスクトップ版の ChatGPT Classic（Electron アプリ）では利用者の操作を伴わずに新規ウィンドウを開けたため、会話するだけで情報が流出しうる「ゼロクリック」の状態だったとしている。ブラウザ利用時も、共有されたチャット経由でのマルウェア配布が成立しうるが、クリックが必要だった。
取るべき対応
本件は Check Point から OpenAI へ責任ある開示が行われ、OpenAI は2026年9月18日にプレビュー用 iframe からポップアップ関連の権限を削除したと回答。Check Point が再検証し、手法が成立しないことを確認している。したがって現時点で利用者側に緊急の設定変更は求められていないが、記事の内容からは次の前提を確認しておきたい。
- ChatGPT デスクトップアプリとブラウザを更新する：修正が反映された状態で使う。
- 共有チャットや第三者が作った GPT の扱いに注意する：チャット内のリンク、ダウンロード、ポップアップは、見た目が公式そのものでも疑う。
- Lockdown Mode を万能な防御と見なさない：今回は「対策機能そのものが回避された」事例である。業務で機密情報を AI に渡す際は、設定の有無に関わらず入力する情報を絞る運用側のルールが必要になる。
受託制作や社内業務で ChatGPT を日常的に使う現場では、「どの情報までアップロードしてよいか」を明文化しておくことが、個々の脆弱性対応より効きやすい。