ChatGPT : le mode confinement a été contourné, OpenAI dit l’avoir corrigé

Le 5 novembre 2026, Check Point Research a décrit une faille qui permettait de contourner Lockdown Mode, le mode confinement optionnel de ChatGPT, et OpenAI lui a indiqué avoir déployé un correctif le 18 septembre 2026.

Le rapport est signé Alexey Bukhteyev. Il porte sur un réglage réservé aux comptes connectés, conçu pour qu’une injection de prompt ne fasse pas sortir de données par le Web, une application, un connecteur ou un téléchargement. Check Point dit avoir d’abord signalé un autre défaut, dans l’environnement d’exécution de code, déjà corrigé. Lockdown Mode est arrivé ensuite.

Ce que le mode coupe, quand il est activé

Selon le rapport, le mode limite la navigation en direct au contenu déjà en cache, bloque l’affichage d’images venues d’Internet, coupe le réseau du code produit dans Canvas, et désactive Deep Research, le mode agent, les connecteurs en direct et les téléchargements de fichiers. L’idée est de fermer les canaux par lesquels une conversation pourrait envoyer des données dehors, par exemple en faisant charger un lien qui emporte un extrait du chat.

Une prévisualisation HTML qui sortait du bac à sable

En février 2026, OpenAI a ajouté une prévisualisation des pages HTML dans les blocs de code. Ce contenu est placé dans un bac à sable : il ne doit pas lire les cookies ni le stockage local de chatgpt.com, et une tentative de joindre l’extérieur doit afficher un avertissement. Check Point a trouvé une faiblesse dans la façon dont les fenêtres surgissantes étaient traitées. Le contenu ouvert par ce biais n’était plus soumis aux mêmes limites, y compris celles du mode confinement.

Le rapport décrit les conséquences, pas une notice. Un attaquant pouvait, selon Check Point, copier l’historique du chat et les fichiers déposés, afficher une fausse fenêtre qui garde l’icône de l’application, proposer un logiciel malveillant déguisé en mise à jour, ou pousser l’utilisateur à se reconnecter sur une page contrôlée par lui. Dans l’application de bureau ChatGPT Classic, fondée sur Electron, aucun clic n’était nécessaire : la conversation suffisait. Le contenu pouvait arriver par un prompt, par un GPT malveillant ou par un chat partagé. Dans le navigateur, Check Point écrit que la victime n’avait même pas besoin d’un compte.

Ce n’est pas le défaut du lien de partage corrigé fin octobre, qui permettait de lire des conversations privées. Ici, le point de départ est la prévisualisation HTML, et Check Point dit que la technique publiée ne fonctionne plus.

Corrigé le 18 septembre, rendu public le 5 novembre

Check Point dit avoir prévenu OpenAI. Le 18 septembre 2026, OpenAI a répondu que le correctif était en place : les permissions qui laissaient une fenêtre surgissante quitter le bac à sable de la prévisualisation ont été retirées. Check Point a refait l’essai et écrit que la méthode décrite ne marche plus. Le rapport ne dit pas si quelqu’un s’en est servi hors du laboratoire, ni à quelle date le premier signalement a été envoyé. Il donne seulement la date à laquelle OpenAI a confirmé le déploiement.

Le constat que Check Point en tire est plus large que ChatGPT : un réglage de sécurité du modèle ne tient que si le reste de l’application, ici un affichage de page, ne lui ouvre pas un autre chemin. Le rapport ne chiffre pas le nombre de comptes qui avaient activé le mode confinement.

Sources

• Check Point Research, Alexey Bukhteyev, 5 novembre 2026