Un incident de sécurité a récemment ébranlé la confiance des utilisateurs de ChatGPT. Malgré l’activation du mode Lockdown, conçu pour protéger les échanges, une faille a permis à des pirates de récupérer des conversations sans intervention de l’utilisateur. OpenAI a corrigé ce problème, mais qu’est-ce qui a conduit à cette vulnérabilité ?
L’essentiel à retenir
- Une faille dans le mode Lockdown de ChatGPT permettait l’exfiltration de données sans clic de l’utilisateur.
- La vulnérabilité découlait d’une permission non sécurisée dans l’aperçu des pages HTML.
- OpenAI a résolu ce problème en supprimant les permissions problématiques le 18 septembre.
Imaginez-vous en train d’utiliser ChatGPT pour une discussion sensible, en toute confiance grâce au mode Lockdown. Pourtant, derrière cette sécurité apparente, une faille permettait à un pirate de glisser dans vos échanges sans que vous ne vous en rendiez compte. Comment cela a-t-il pu se produire, et surtout, que faire pour éviter que cela ne se reproduise ?
La faille du mode Lockdown de ChatGPT : une porte ouverte aux pirates
Le mode Lockdown de ChatGPT était destiné à renforcer la sécurité des utilisateurs en bloquant les requêtes extérieures. Toutefois, une vulnérabilité non détectée a permis des attaques via une page HTML piégée, sans qu’aucun clic ne soit nécessaire de la part de l’utilisateur.
Développer ses compétences, mieux s'organiser, exploiter l'IA ou lancer un projet : les bons outils peuvent faciliter le quotidien professionnel. Voici 8 solutions à découvrir pour apprendre, gagner en efficacité et tirer parti du numérique.
🇬🇧 Gymglish – Améliorez votre anglais professionnel (1 MOIS OFFERT !)
Pour progresser en anglais, enrichir son vocabulaire et gagner en aisance dans un contexte professionnel grâce à des leçons personnalisées.
→ Découvrir Gymglish
🌍 Preply – Apprenez une langue avec un professeur (- 50 %)
Pour préparer une évolution de carrière, travailler à l'international ou développer de nouvelles compétences linguistiques, trouvez des cours adaptés à vos objectifs.
→ Trouver un professeur sur Preply
🧠 MindManager – Structurez vos idées et vos projets (ESSAI GRATUIT)
Organisez vos tâches, préparez un projet professionnel ou clarifiez vos objectifs grâce aux cartes mentales et aux outils de planification.
→ Découvrir MindManager
☁️ pCloud – Stockez vos fichiers en ligne (EN PROMO)
Conservez vos documents, photos et fichiers personnels ou professionnels dans le cloud pour y accéder depuis vos appareils.
→ Découvrir l'offre pCloud
📊 HubSpot CRM – Organisez vos contacts professionnels
Centralisez les informations sur vos prospects et vos clients pour suivre vos échanges et structurer votre activité, notamment si vous êtes indépendant ou entrepreneur.
→ Découvrir HubSpot CRM
🎬 CapCut Pro – Créez des vidéos pour les RS (7 jours d'essai gratuit)
Montez vos vidéos et préparez des contenus visuels pour vos publications, vos projets de communication ou votre activité en ligne.
→ Découvrir CapCut Pro
🛒 Shopify – Lancez votre activité en ligne (ESSAI GRATUIT)
Vous envisagez une reconversion ou un projet entrepreneurial ? Shopify propose des outils pour créer et gérer une boutique e-commerce sans avoir à développer votre propre site de zéro.
→ Découvrir Shopify
Lorsqu’un utilisateur demandait l’aperçu d’une page web, ChatGPT affichait directement le résultat dans la conversation. Ce fonctionnement, exploité par des pirates, a permis de contourner la sécurité en utilisant des iframes, des fenêtres isolées qui devraient normalement être sécurisées.
Comment les iframes ont été exploitées pour contourner la sécurité
Les iframes, bien que conçues pour isoler le contenu, ont été manipulées par les pirates. En insérant une seconde iframe dans une page piégée, les attaquants ont réussi à ouvrir des fenêtres pop-up en dehors du bac à sable sécurisé, exécutant ainsi du code HTML sans restriction.
Cette technique a permis aux hackers d’afficher des fausses mises à jour ou de rediriger les utilisateurs vers de fausses pages de connexion, compromettant ainsi leurs informations personnelles.
OpenAI réagit et supprime les permissions problématiques
Après la découverte de cette faille par Check Point Research, OpenAI a rapidement supprimé les permissions qui permettaient l’ouverture de ces fenêtres pop-up. Les tests menés après ces changements ont confirmé que la technique de contournement ne fonctionnait plus, renforçant ainsi la sécurité du mode Lockdown.
OpenAI a également annoncé la fermeture de ChatGPT Classic pour le 30 janvier 2027, encourageant les utilisateurs à migrer vers la nouvelle application de bureau, qui offre une sécurité améliorée.
Les défis de la sécurité dans l’intelligence artificielle
Malgré les efforts déployés pour sécuriser les applications d’IA, les chercheurs de Check Point ont démontré que même les protections avancées peuvent être contournées. En exploitant des fonctions ordinaires laissées ouvertes, les pirates ont pu accéder aux données des utilisateurs de manière invisible.
Ces incidents soulignent l’importance d’une vigilance constante et de la mise à jour régulière des systèmes de sécurité pour protéger les utilisateurs des nouvelles techniques d’attaque qui continuent d’émerger.
ChatGPT et la question de la confiance numérique
La sécurité des données est devenue un enjeu majeur dans le domaine de l’intelligence artificielle. Des entreprises comme OpenAI, Google et Microsoft investissent massivement dans des technologies destinées à protéger les utilisateurs, mais la course entre les développeurs de sécurité et les pirates reste intense.
La faille du mode Lockdown de ChatGPT rappelle que la confiance des utilisateurs dépend non seulement de la technologie proposée, mais aussi de la transparence et de la réactivité des entreprises face aux incidents de sécurité. Dans cette dynamique, l’engagement des entreprises à corriger rapidement les failles est crucial pour maintenir cette confiance.
FAQ
Qu’est-ce que le mode Lockdown de ChatGPT ?
Le mode Lockdown est une fonctionnalité de sécurité de ChatGPT conçue pour protéger les échanges des utilisateurs en bloquant les requêtes vers l’extérieur et en limitant les fonctions qui pourraient être exploitées par des pirates.
Comment la faille a-t-elle été découverte ?
La faille a été découverte par un chercheur de Check Point Research, Alexey Bukhteyev, qui a trouvé un moyen de contourner le mode Lockdown en utilisant des iframes pour exécuter du code HTML malveillant.
Que doivent faire les utilisateurs de ChatGPT Classic ?
Les utilisateurs de ChatGPT Classic sont encouragés à migrer vers la nouvelle application de bureau avant sa fermeture prévue le 30 janvier 2027, afin de bénéficier de mesures de sécurité renforcées.
Quels sont les risques si le mode Lockdown n’est pas utilisé ?
Sans le mode Lockdown, les utilisateurs sont plus vulnérables aux attaques qui peuvent exfiltrer des données, implanter des logiciels malveillants ou accéder à des informations sensibles via des requêtes externes non sécurisées.
