OpenAI Patch Lockdown Mode ChatGPT Usai Ditembus Peneliti

Telset.id – OpenAI terpaksa memperkuat fitur keamanan Lockdown Mode di ChatGPT setelah tim peneliti Check Point Research (CPR) menemukan cara melewati proteksi tersebut. Celah ini memungkinkan penyerang mengekstraksi data sensitif hingga berpotensi menyebarkan malware melalui mekanisme prompt injection. Perbaikan dilakukan OpenAI di sisi server setelah laporan diterima.

Temuan ini menjadi peringatan bahwa kontrol keamanan pada aplikasi AI tidak berdiri sendiri. CPR menilai proteksi hanya sekuat lingkungan aplikasi yang mengelilinginya. “Temuan ini memunculkan isu keamanan enterprise yang lebih luas: kontrol keamanan AI hanya sekuat lingkungan aplikasi yang lebih luas di sekitarnya,” ujar CPR seperti dikutip dari laporan mereka.

Lockdown Mode sendiri merupakan pengaturan keamanan opsional di ChatGPT yang dirancang untuk pengguna yang menangani informasi sangat sensitif. Saat diaktifkan, fitur ini membatasi koneksi ke layanan eksternal dan membatasi atau menonaktifkan sejumlah fungsi seperti penjelajahan web langsung, Deep Research, Agent Mode, hingga unduhan file. Tujuannya mengurangi risiko kebocoran data lewat prompt injection.

Celah di Balik Pratinjau HTML

Prompt injection menjadi salah satu modus paling umum untuk menyalahgunakan alat dan agen AI. Dengan menyisipkan perintah ke dalam konten yang seharusnya dianalisis AI, pelaku dapat mengambil alih alat tersebut. Contohnya, perintah untuk “mengekstraksi seluruh informasi kontak” bisa disembunyikan dalam email phishing. Ketika korban meminta agen AI memilah email belum terbaca, alat itu justru mengekspos data sensitif ke penyerang.

CPR menemukan bug pada cara ChatGPT menampilkan pratinjau halaman HTML di dalam code block. Code block adalah bagian terformat khusus untuk menampilkan kode terpisah dari teks biasa agar strukturnya terjaga dan mudah disalin atau diedit. Karena menjalankan HTML dan JavaScript yang dikendalikan pengguna berisiko, OpenAI menempatkan konten tersebut dalam sandbox yang terpisah dari aplikasi utama ChatGPT.

Sandbox itu mencegah konten yang dirender mengakses cookie ChatGPT atau penyimpanan lokal secara langsung. Sandbox juga mengendalikan upaya komunikasi dengan sumber daya eksternal melalui persetujuan pengguna. Namun, popup ditangani secara berbeda. “Pratinjau HTML menggunakan frame bersarang yang di-sandbox, dan meskipun ChatGPT mencegat upaya langsung membuka jendela baru, izin sandbox yang mendasari tetap mengizinkan popup dan membiarkannya keluar dari sandbox,” jelas CPR.

Dengan membuat frame bersarang terpisah di dalam halaman yang dirender, CPR mampu mengakses fungsi popup yang belum dimodifikasi dan melewati seluruh pembatasan pada pratinjau HTML asli. Semua konten yang dibuka lewat cara ini tidak lagi berada di bawah aturan sandbox, sehingga Lockdown Mode berhasil dilewati secara efektif.

Risiko dari Pencurian Kredensial hingga Zero-Click

CPR menilai temuan ini signifikan karena membuka jalan bagi serangan yang lebih luas dari sekadar prompt injection untuk eksfiltrasi data. Pencurian kredensial hingga penyebaran malware tidak dikesampingkan. “Serangan berpotensi berasal dari prompt berbahaya, GPT berbahaya, atau chat yang dibagikan, tergantung skenarionya,” kata CPR.

Pelaku ancaman yang lebih kreatif juga dapat mengubahnya menjadi mesin phishing yang efektif. Sebab, mereka bisa mengendalikan konten yang ditampilkan di jendela popup, di dalam lingkungan yang umumnya dipercaya pengguna. Namun, skenario paling berbahaya adalah serangan “zero-click”, di mana popup muncul tanpa gestur atau interaksi dari pengguna.

CPR telah menyampaikan temuan ini kepada OpenAI. Pihak OpenAI kemudian menerapkan pengamanan tambahan untuk menonaktifkan cara kerja yang melewati Lockdown Mode. Meski sudah ditambal, CPR tetap mendorong organisasi untuk meningkatkan visibilitas terhadap penggunaan AI, memastikan kendali atas paparan data sensitif, serta “melihat melampaui keamanan model” dengan mempertimbangkan aplikasi, runtime, konektor, dan komponen lain di sekitar model sebagai bagian dari permukaan serangan AI secara keseluruhan.

Kasus ini memperlihatkan bahwa ancaman terhadap aplikasi AI tidak selalu datang dari model itu sendiri. Lapisan aplikasi, runtime, dan konektor di sekelilingnya turut menentukan seberapa kuat proteksi yang dibangun. Pembahasan soal security debt pun relevan, karena celah pada lapisan aplikasi bisa menjadi beban risiko yang menumpuk jika tidak dikelola.

Bagi organisasi yang memakai alat AI untuk menangani data sensitif, temuan CPR menegaskan pentingnya kendali atas paparan data dan pemahaman menyeluruh terhadap permukaan serangan. Pembaruan AI Security Mesh dari OpenAI dan Oracle menjadi salah satu contoh upaya menutup celah di lapisan aplikasi. Langkah serupa diperlukan agar kontrol keamanan AI tidak hanya bergantung pada proteksi di tingkat model.