L’impostazione che doveva impedire a ChatGPT di far uscire le conversazioni private si poteva aggirare, e non passando per il modello. Check Point Research ha pubblicato il 5 novembre il resoconto tecnico di una vulnerabilità che permetteva di saltare la Lockdown Mode e copiare la cronologia di una chat su un server esterno. OpenAI ha chiuso il buco il 18 settembre, e i ricercatori hanno riprovato l’attacco confermando che non funziona più.
La Lockdown Mode è un’impostazione facoltativa introdotta da OpenAI a giugno 2026 per ridurre il rischio di prompt injection, cioè di istruzioni nascoste dentro un testo o una pagina che il modello legge ed esegue come se venissero dall’utente. Quando è attiva, limita le richieste in uscita verso la rete, blocca il caricamento di immagini esterne e spegne strumenti come Deep Research, la modalità agente, i connettori e lo scaricamento di file. Lo scopo è tagliare le strade per cui i dati possono uscire.
Il difetto stava in una funzione ordinaria dell’applicazione. A febbraio 2026 OpenAI aveva aggiunto nei blocchi di codice l’anteprima delle pagine scritte in HTML, il linguaggio con cui si costruiscono le pagine web. Il codice generato viene disegnato come una pagina vera, dentro una gabbia: due riquadri annidati che nel gergo si chiamano iframe e che impediscono al contenuto di leggere i cookie o di parlare con la rete. Quella gabbia, però, teneva attivi due permessi, allow-popups e allow-popups-to-escape-sandbox, che consentono di aprire finestre nuove e di farle uscire dalla gabbia.
Come si usciva dalla gabbia
Il passaggio tecnico è di una semplicità scomoda. ChatGPT sostituiva la funzione con cui si aprono le finestre per intercettarne le chiamate, ma uno script poteva creare un ulteriore riquadro annidato dentro la pagina disegnata e chiedere a quello la funzione originale, non modificata. La finestra che ne usciva eseguiva codice fuori dalla gabbia, e quindi fuori anche dalle restrizioni della Lockdown Mode. Nella finestra falsa l’icona di ChatGPT restava quella vera, mentre il titolo lo scriveva l’attaccante.
Da lì gli usi possibili erano tre, e il terzo è quello che cambia la valutazione del rischio. Un prompt costruito, un GPT personalizzato malevolo (un assistente che un utente qualsiasi può confezionare dentro ChatGPT) o una chat condivisa potevano copiare la cronologia su un server esterno, mostrare finte schermate di aggiornamento o spingere lo scaricamento di programmi dannosi. Sull’applicazione desktop ChatGPT Classic, costruita con la tecnologia Electron, non serviva nessun clic: bastava iniziare una conversazione con un GPT malevolo. Nel browser la vittima doveva comunque cliccare l’anteprima.
La correzione è arrivata dal lato server, quindi senza bisogno di aggiornare nulla. Il 18 settembre OpenAI ha comunicato di avere rimosso i due permessi dal riquadro esterno dell’anteprima HTML, e Check Point ha verificato che la tecnica descritta non è più praticabile. Fra la chiusura del buco e la pubblicazione del resoconto sono passati quarantotto giorni, la finestra ordinaria di una divulgazione responsabile.
Il senso della vicenda lo ha riassunto Eli Smadja, responsabile della ricerca di Check Point, sostenendo che i controlli di sicurezza di un’IA valgono quanto l’ambiente in cui stanno. Non è una formula: la Lockdown Mode funzionava, ed è stata aggirata da un permesso di un riquadro HTML che con il modello non c’entra niente. Man mano che gli assistenti eseguono codice, aprono file e si collegano ad altri servizi, la superficie da difendere smette di essere il modello e diventa l’applicazione intorno.
Non è nemmeno un caso isolato. Una settimana prima Parameter Labs aveva descritto un modo di aggirare la stessa gabbia e la politica sui contenuti per impadronirsi di un account, mandando alla vittima un link di condivisione pubblica e facendole cliccare l’anteprima una volta. La stessa funzione, due buchi in due settimane. Di agenti che finiscono dove non dovevano su questo sito avevamo scritto per il caso indiano.
Una impostazione facoltativa chiamata Lockdown Mode promette una cosa sola: che quello che scrivi lì dentro non esce. Per sette mesi, su quella promessa c’era una finestra aperta.
Immagine di apertura: immagine generica della fonte (DailyAI), già allegata nella libreria media di AI Marketing Italia. Da sostituire con un’immagine a licenza libera prima della pubblicazione.
