Se ha descubierto un fallo en ChatGPT que permitía a los atacantes evadir el Lockdown Mode, la configuración de seguridad diseñada para evitar fugas de datos. Check Point Research reveló que, mediante un truco de ventanas emergentes ocultas, era posible copiar todo el historial de chats del usuario, mostrar ventanas falsas e instalar malware. En la aplicación de escritorio ChatGPT Classic, bastaba con chatear para activar la filtración.

Un fallo en ChatGPT permitió que los atacantes evadieran el Modo de Bloqueo (Lockdown Mode), el ajuste de seguridad diseñado para detener las filtraciones de datos. Check Point Research descubrió que un truco de ventanas emergentes ocultas podía copiar todo el historial de chat de un usuario, mostrar ventanas falsas y propagar malware. En la aplicación de escritorio de ChatGPT Classic, bastaba con chatear para provocar la filtración. OpenAI ya ha solucionado el error.

OpenAI lanzó el Modo de Bloqueo el 13 de febrero de 2026, primero para planes empresariales. El 4 de junio llegó a las cuentas personales, donde puedes activarlo en Ajustes > Seguridad. Este ajuste limita la navegación web a páginas almacenadas en caché y desactiva el acceso a la web en vivo, el soporte de imágenes en las respuestas, Deep Research, el Modo Agente, la red de Canvas, los conectores en vivo y las descargas de archivos.

OpenAI afirma que está diseñado para usuarios de alto riesgo, como ejecutivos y equipos de seguridad, y que la mayoría de las personas no lo necesitan. Nuestra historia anterior sobre el lanzamiento del Modo de Bloqueo de ChatGPT cubre los conceptos básicos.

El objetivo es detener la inyección de prompts, donde un texto oculto engaña a la IA para que siga las órdenes de un atacante. Un truco común es hacer que la IA cargue un enlace como attacker.example/collect?data= seguido de detalles privados. Los datos aparecen entonces en los registros del servidor del atacante y el chat parece normal.

Evasión del Modo de Bloqueo de ChatGPT

Esta no es la primera ruta de salida oculta que ha encontrado Check Point. En marzo, el equipo demostró que el tunelizado de DNS en el tiempo de ejecución de código de ChatGPT podía enviar datos del chat a un servidor externo. Cubrimos ese error en la noticia sobre la vulnerabilidad de ChatGPT que permitía a los atacantes exfiltrar prompts de usuarios silenciosamente. El nuevo fallo demuestra cómo cerrar una ruta no protege las demás.

En febrero de 2026, OpenAI añadió una vista previa de HTML a los bloques de código de ChatGPT, para que puedas ver una página directamente en el chat. Esa página se ejecuta dentro de dos iframes anidados, que son pequeñas páginas web encajonadas. El cuadro bloquea imágenes, scripts y enlaces externos, y pide permiso al usuario antes de que cualquier cosa salga de él.

El investigador Alexey Bukhteyev detectó un punto débil. Los cuadros permitían ventanas emergentes a través de dos ajustes: allow-popups y allow-popups-to-escape-sandbox. ChatGPT protegía las ventanas emergentes sustituyendo la función window.open. Una página podía saltarse esa protección añadiendo un iframe más y llamando al window.open de ese propio iframe.

La ventana emergente se abría entonces sin previo aviso, incluso en Modo de Bloqueo. Dado que el segundo ajuste estaba activado, el código de la ventana emergente se ejecutaba fuera del cuadro.

El primer riesgo eran las ventanas de actualización falsas. La ventana emergente mantenía el icono de ChatGPT, mientras que el atacante elegía el título. Eso hacía que la descarga de un malware pareciera una actualización real de la aplicación. En un navegador, las descargas no se bloquean, por lo que un enlace de chat compartido era suficiente y la víctima ni siquiera necesitaba una cuenta. En la aplicación de escritorio, el usuario todavía tenía que hacer clic en el enlace de descarga.

El segundo riesgo era el robo silencioso de datos. En ChatGPT Classic, basado en Electron, window.open funcionaba sin ningún clic del usuario. Un prompt malicioso, un GPT personalizado malicioso o un chat compartido podían enviar toda la conversación, y los archivos subidos, al servidor del atacante.

El tercer riesgo era el robo de credenciales. El equipo también recargó la ventana principal de ChatGPT y cerró la sesión del usuario. Una página de inicio de sesión falsa podía entonces capturar la contraseña cuando el usuario volvía a entrar.

Check Point informó del problema a OpenAI. El 18 de septiembre de 2026, OpenAI dijo que había eliminado ambos permisos de ventanas emergentes del iframe de vista previa externo. Check Point volvió a realizar las pruebas y confirmó que el truco ya no funciona. Check Point publicó su informe el 5 de noviembre.

No es necesaria ninguna acción por tu parte para este error específico, pero algunos hábitos reducen el riesgo de otros similares. No hagas clic en botones, vistas previas o avisos de "actualización" dentro de chats compartidos. Evita los prompts copiados de sitios desconocidos y los GPT personalizados de creadores desconocidos.

Revisa la barra de direcciones o la página de inicio de sesión antes de escribir tu contraseña, especialmente tras un cierre de sesión inesperado. Mantén actualizada la aplicación de escritorio y evita pegar secretos médicos, financieros o laborales en cualquier chat a menos que sea necesario.

Incluso OpenAI dice que sus salvaguardas reducen el riesgo pero no dan una garantía total. A medida que las herramientas de IA ejecutan código y muestran contenido web, cada nueva función añade una nueva vía de entrada. Los hábitos cuidadosos siguen siendo una capa de protección necesaria.

Fuentes:
https://cybersecuritynews.com/chatgpt-lockdown-mode-bypass/