Check Point Research (CPR) descubrió una vulnerabilidad
que eludía el Modo de Bloqueo de ChatGPT, una función de seguridad diseñada
para reducir la exfiltración de datos mediante inyección de mensajes. Esta
falla podría permitir el robo silencioso de datos de chat, el phishing y la
distribución de malware, incluyendo la exfiltración de datos sin necesidad de
hacer clic en la aplicación de escritorio de ChatGPT.
OpenAI
solucionó la vulnerabilidad tras una divulgación responsable, pero el hallazgo
plantea un problema de seguridad empresarial más amplio: los controles de
seguridad de la IA son tan sólidos como el entorno de aplicación más amplio que
los rodea.
Check Point
Research eludió el modo de bloqueo de ChatGPT, una función de seguridad
diseñada específicamente para limitar la exfiltración de datos mediante la
inyección de mensajes.
Esta
vulnerabilidad podría dar lugar a múltiples escenarios de ataque, incluyendo la
exfiltración de datos de chat, el robo de credenciales mediante phishing y la
distribución de malware a través de una interfaz ChatGPT de confianza.
El riesgo
más significativo demostrado es la posibilidad de filtración de datos sin
interacción del usuario, independientemente de cómo se acceda a ChatGPT. Si
bien CPR utilizó la aplicación de escritorio en su demostración, la técnica
subyacente no se limita al entorno de escritorio.
La
vulnerabilidad se originó en el entorno de la aplicación en general, lo que
demuestra cómo las debilidades ajenas al propio modelo de IA pueden socavar los
controles de seguridad específicos de la IA.
OpenAI
solucionó la vulnerabilidad tras una divulgación responsable, y Check Point
Research confirmó que la técnica descrita en la investigación ya no funciona.
¿Qué es el
modo de bloqueo de ChatGPT?
OpenAI
introdujo el Modo Bloqueo como una configuración de seguridad avanzada opcional
diseñada para reducir el riesgo de que información confidencial salga de
ChatGPT como resultado de una inyección de comandos. Estos ataques intentan
manipular un sistema de IA mediante instrucciones maliciosas ocultas en el
contenido que procesa, lo que podría provocar que la IA o alguna de sus
herramientas realice una acción no deseada.
Una posible
consecuencia es la exfiltración de datos, donde información confidencial se
envía a un destino controlado por el atacante sin que el usuario se dé cuenta.
El Modo Bloqueo reduce este riesgo al restringir varios canales de salida
potenciales, incluido el acceso web en tiempo real y las imágenes alojadas en
internet, al tiempo que desactiva funciones como la Investigación Profunda, el
Modo Agente, los conectores en tiempo real y las descargas de archivos.
“Estas
medidas de seguridad dificultan considerablemente que instrucciones maliciosas
transfieran información privada fuera de ChatGPT. Sin embargo, Check Point
Research descubrió que otra función dentro de la aplicación creaba una vía
alternativa para eludir estas restricciones”, dijo Eli Smadja, Jefe de
Investigación, Check Point Research
La
vulnerabilidad afectaba a las vistas previas de páginas HTML dentro de los
bloques de código de ChatGPT, una función que permite renderizar contenido HTML
directamente dentro de la experiencia de ChatGPT. Dado que la ejecución de HTML
y JavaScript controlados por el usuario puede generar riesgos de seguridad,
este contenido se ubica dentro de un entorno aislado diseñado para separarlo de
la aplicación principal de ChatGPT.
El entorno
aislado impedía que el contenido renderizado accediera directamente a
información como las cookies de ChatGPT, el almacenamiento local y la interfaz
principal de la aplicación. También controlaba los intentos de comunicación con
recursos externos y, por lo general, requería la aprobación del usuario antes
de abrir una URL externa.
Check Point
Research descubrió una vulnerabilidad en el manejo de ventanas emergentes en
este entorno. La vista previa HTML utilizaba marcos aislados anidados, y si
bien ChatGPT interceptaba los intentos directos de abrir nuevas ventanas, los
permisos subyacentes del entorno aislado permitían la aparición de ventanas
emergentes y les permitían salirse del entorno aislado.
Los
investigadores descubrieron que, al crear otro marco anidado dentro de la
página renderizada, era posible acceder a una función emergente sin modificar y
eludir las restricciones impuestas a la vista previa HTML original. El
contenido abierto a través de esta ruta ya no estaba sujeto a las mismas
restricciones de entorno aislado, lo que permitía sortear las protecciones del
Modo de bloqueo.
El modo de
bloqueo se diseñó específicamente para reducir la posibilidad de que los datos
salieran de una conversación mediante solicitudes salientes potencialmente
maliciosas; sin embargo, una vulnerabilidad en otra función de la aplicación proporcionó
una vía alternativa para eludir esa medida de seguridad. Esto demuestra cómo
los controles de seguridad diseñados para la IA pueden verse afectados por
componentes de otras partes de la aplicación.
Check Point
Research descubrió que la vulnerabilidad podría aplicarse a varios escenarios
de ataque potenciales, incluyendo la exfiltración de datos, el robo de
credenciales y la distribución de malware. Un ataque podría originarse a partir
de una solicitud maliciosa, una tabla de permisos de usuario (GPT) maliciosa o
un chat compartido, según el escenario.
Dado que un
atacante podría controlar el contenido que se muestra en la ventana emergente,
esta también podría utilizarse para crear señuelos convincentes de ingeniería
social en un entorno en el que los usuarios ya confían. En la aplicación de
escritorio ChatGPT, por ejemplo, la nueva ventana conservaba el icono de la
aplicación ChatGPT, pero permitía que el atacante controlara su título y
contenido.
Los
investigadores demostraron cómo esto podría usarse para presentar una
actualización falsa de ChatGPT e incitar a la víctima a descargar malware.
También descubrieron que la ventana principal de la aplicación podía
manipularse de ciertas maneras, incluyendo el cierre forzoso de la sesión del
usuario, lo que creaba la posibilidad de redirigir a la víctima a una página de
autenticación controlada por el atacante, diseñada para robar credenciales.
En la
aplicación de escritorio, la descarga de un archivo aún requería que la víctima
hiciera clic en un enlace. Sin embargo, la investigación demuestra cómo
comprometer la seguridad de una interfaz de IA confiable podría hacer que los
ataques de phishing y malware resulten más convincentes al presentarlos en un
entorno que la víctima ya reconoce.
Por qué la
exfiltración de datos sin clics aumentó el riesgo
El
escenario más grave identificado por Check Point Research involucró la
aplicación de escritorio ChatGPT basada en Electron, donde el comportamiento de
la ventana emergente funcionaba sin requerir ninguna acción por parte del
usuario. Esto eliminó una barrera importante para la explotación, ya que la
víctima no necesariamente tendría que hacer clic en un enlace o aprobar una
acción para que comenzara el ataque.
A medida
que los sistemas de IA obtienen un mayor acceso a los datos y aplicaciones
corporativas, las organizaciones deberían considerar varias medidas prácticas:
· Obtenga visibilidad sobre el uso de la
IA: comprenda qué servicios de IA utilizan los empleados y dónde se comparte la
información corporativa.
· Controlar la exposición de datos
confidenciales: Establecer políticas y controles técnicos en torno a los tipos
de información que los empleados pueden compartir con los servicios de IA.
· Vaya más allá de la seguridad del
modelo: considere las aplicaciones, los entornos de ejecución, los conectores y
otros componentes que rodean al modelo como parte de la superficie de ataque
general de la IA.
· Reduzca el impacto de las
vulnerabilidades de terceros: Limite la información confidencial disponible
para los servicios de IA para que una brecha de seguridad no exponga
automáticamente todo lo que un usuario u organización haya compartido.
Check Point
Research reveló responsablemente la vulnerabilidad a OpenAI, que informó a los
investigadores el 18 de septiembre de 2026 que había implementado una solución
que eliminaba los permisos de entorno aislado que permitían la técnica.
“Para las
empresas que adoptan la IA a gran escala, la lección va más allá de esta
vulnerabilidad específica de ChatGPT. A medida que los asistentes de IA
adquieren mayor capacidad para ejecutar código, gestionar archivos y conectarse
a servicios externos, las estrategias de seguridad deben considerar el entorno
general que rodea al modelo. Una mayor visibilidad del uso de la IA y controles
más estrictos sobre la información corporativa confidencial pueden ayudar a las
organizaciones a adoptar estas capacidades, reduciendo al mismo tiempo el
impacto potencial cuando surgen vulnerabilidades”, concluyó Eli Smadja, Jefe de
Investigación, Check Point Research.
