--- title: "ChatGPT 安全模式被繞過：Check Point 揭露整段對話可被外傳，企業 AI 使用政策該補的五件事" description: "ChatGPT 的 Lockdown Mode 不能當企業唯一防線，員工政策要另外管第三方 GPT 與分享連結。Check Point 於 2026 年 11 月 5 日公布，程式碼區塊的 HTML 預覽可繞過此模式外傳整段對話；其報告稱 OpenAI 已於 9 月 18 日告知修補。本文整理事實與企業該補的五個步驟。" canonical: "https://yotron-ai.com/blog/chatgpt-lockdown-mode-bypass-enterprise-ai-usage-policy" published: "2026-11-07" last-updated: "2026-11-07" --- # ChatGPT 安全模式被繞過：Check Point 揭露整段對話可被外傳，企業 AI 使用政策該補的五件事 ChatGPT 的 Lockdown Mode 不能當企業唯一防線，員工政策要另外管第三方 GPT 與分享連結。Check Point 於 2026 年 11 月 5 日公布，程式碼區塊的 HTML 預覽可繞過此模式外傳整段對話；其報告稱 OpenAI 已於 9 月 18 日告知修補。本文整理事實與企業該補的五個步驟。 > 文／Laban（優創智能 AI 導入工程師） Lockdown Mode（鎖定模式）是 ChatGPT 為降低提示注入（Prompt Injection）資料外洩風險而設計的選用安全設定。結論先講：**廠商的安全模式只是其中一道防線，不是企業的 AI 使用政策本身。Check Point 證明，一個看似無害的 HTML 預覽功能，就能讓鎖定模式失效、把整段對話送到外部伺服器。漏洞已修補，但企業該趁這次補上的，是「哪些內容不能進 ChatGPT、哪些外部 GPT 與分享連結不能直接開」的規則。** 本文是新聞解析與內部政策建議，不是漏洞技術教學；技術細節以 Check Point 公開報告為準。 --- ## 一、已知事實：Check Point 公布了什麼？ ### 1. 漏洞出在程式碼區塊的 HTML 預覽 Check Point Research 研究員 Alexey Bukhteyev 於 2026 年 11 月 5 日發布[研究報告](https://research.checkpoint.com/2026/chatgpt-lockdown-mode-bypass-phishing-malware-delivery-and-silent-data-exfiltration/)。重點整理如下： | 項目 | 內容（依 Check Point 報告） | | --- | --- | | 出問題的功能 | ChatGPT 於 2026 年 2 月替程式碼區塊加入的 HTML 頁面預覽 | | 技術原因 | 預覽放在兩層 iframe 中，外層保留 `allow-popups` 與 `allow-popups-to-escape-sandbox` 權限 | | 繞過方式 | ChatGPT 改寫了 `window.open` 要求使用者同意，但攻擊頁面另建一層 iframe、呼叫它自己的 open 函式，就不會被攔截，彈出視窗落在沙箱外 | | 攻擊入口 | 惡意提示詞、惡意 GPT，或一段分享出來的對話 | | 可能被拿走的 | 整段聊天紀錄、上傳的檔案；也可做釣魚頁面、假更新下載與誘騙重新登入 | | 受影響介面 | 以 Electron 建置的桌面版 ChatGPT Classic 與瀏覽器 | ### 2. 桌面版只要正常聊天就會觸發 報告指出，在 ChatGPT Classic 桌面版中，`window.open` 不需要使用者點擊就能執行，「只要進行一段對話，就足以觸發無聲的資料外傳」。瀏覽器端則因為不擋自動下載，散布假更新程式更容易。[GBHackers](https://gbhackers.com/chatgpt-lockdown-mode-bypass/)（2026-11-06）的整理也寫到，瀏覽器情境下受害者甚至不需要帳號，分享一段含惡意頁面的對話就夠。 偽造的彈出視窗會保留 ChatGPT 圖示、標題由攻擊者控制，使用者容易以為自己還在 ChatGPT 裡。 ### 3. 修補時間與方式 依 Check Point 報告，OpenAI 於 2026 年 9 月 18 日告知已部署修補，做法是從外層預覽 iframe 移除上述兩項 sandbox 權限；Check Point 重測後確認手法已失效。[SecurityOnline](https://securityonline.info/chatgpt-lockdown-mode-bypass/)（2026-11-06）也報導 OpenAI 在公開揭露前、於 9 月完成修補。OpenAI 本次沒有另行發布公開說明。 ### 4. Lockdown Mode 原本承諾什麼 依 [Privacy Guides](https://www.privacyguides.org/news/2026/02/21/chatgpt-adds-lockdown-mode-for-protection-against-prompt-injection-attacks/)（2026-02-21）的報導，Lockdown Mode 推出時只開放給 ChatGPT Enterprise、Edu、ChatGPT for Healthcare 與 ChatGPT for Teachers。OpenAI 當時就說明，這個模式不會確定性地阻止提示注入進入上下文，重點是擋住可能把資料送出去的網路請求。Check Point 報告則描述它是登入使用者可選用的進階安全設定。 --- ## 二、編輯分析：這件事對台灣企業代表什麼？ ### 1. 漏洞不在模型，而在模型旁邊的功能 這次被繞過的不是模型本身，而是「預覽 HTML」這種方便的介面功能。**AI 工具每多一個功能，就多一個可能繞過安全設定的地方。** Check Point 也在報告中提醒，防護機制與內建安全功能都無法保證絕對安全，要從整個平台去看。 ### 2. 分享連結與外部 GPT 要當成不可信輸入 攻擊入口是惡意 GPT 與分享對話。很多公司會在群組裡互傳 ChatGPT 對話連結，或讓同事試用網路上找到的 GPT。**這些東西應該和陌生信件附件一樣看待：先確認來源，再決定能不能在放了公司資料的帳號裡打開。** ### 3. 「已修補」不代表不用做事 這個漏洞在服務端修好了，企業不用安裝任何東西。但同類問題未來還會出現，而且通常是在揭露時才知道已經存在好幾個月。這次從 9 月 18 日修補到 11 月 5 日公開，中間有一段時間外界並不知情。**能控制的不是廠商何時發現漏洞，而是員工平常放進去的資料有多敏感。** --- ## 三、五個步驟：補上企業的 ChatGPT 使用政策 ### 步驟 1：盤點員工實際用哪些 ChatGPT 入口 列出同事使用的是瀏覽器、桌面 app 還是手機 app，以及用公司帳號還是個人帳號。這次 Check Point 點名的是 ChatGPT Classic 桌面版與瀏覽器。盤點的目的不是禁用，而是知道下次有安全公告時，要通知誰、檢查哪台電腦。 ### 步驟 2：把資料分成「可以放」與「不能放」兩級 寫一張一頁的清單：客戶個資、合約、報價底價、帳號密碼與 API 金鑰屬於不能放；公開資料、已去識別的內容屬於可以放。**不用寫成厚厚的資安手冊，第一線看得懂、記得住比較重要。** ### 步驟 3：管住外部 GPT 與分享連結 規定兩件事：不在放了公司資料的帳號裡使用來源不明的 GPT；收到別人分享的 ChatGPT 對話連結，先確認是誰傳的、用途是什麼。若公司用的是企業版，由管理員決定開放哪些應用程式與功能，不是每個人自己裝。 ### 步驟 4：不把 Lockdown Mode 當唯一防線 如果公司方案有 Lockdown Mode，可以給處理敏感資料的少數人開啟，但要同時保留步驟 2 與步驟 3 的規則。採購或續約時，請廠商用書面說明安全模式「涵蓋什麼、不涵蓋什麼」，並寫進內部評估表。AI 工具內建瀏覽器與預覽功能的風險，也可參考 [AI 程式助手內建瀏覽器的弱點檢查](/blog/embrace-ai-coding-assistant-embedded-browser-security)。 ### 步驟 5：建立「收到 AI 安全公告」的處理流程 指定一位負責人，追蹤所用 AI 工具的安全公告。看到類似揭露時，依序確認三件事：受影響的入口公司有沒有人在用、是否需要使用者端動作、過去這段期間有沒有人在那個入口處理過敏感資料。需要時通知相關同事更換密碼或重新登入。 **驗收標準**：做完五步，你要能回答三個問題：公司有誰在用 ChatGPT、用哪個入口；哪些資料明確不能放進去；下一次 AI 工具出安全公告時，誰負責判斷要不要通知同事。三題都有答案，政策才算存在。 --- ## 四、結語：安全設定是廠商的事，使用規則是你的事 Lockdown Mode 是好功能，但這次事件說明，**廠商的安全開關再多，也替代不了企業自己決定「什麼資料能進 AI」。** 先把規則寫短、寫清楚，再談要開哪些進階功能。 想替公司建立一份第一線看得懂的 AI 使用政策，或盤點目前 AI 工具的資料流向，歡迎與我們聯繫，我們可以從一次工具與資料盤點開始。 --- **免責說明**：本文依據 Check Point Research 於 2026 年 11 月 5 日公開的報告及媒體報導整理，資料截至 2026 年 11 月 7 日；技術細節與修補日期以 Check Point 報告為準，OpenAI 未另行發布公開說明。Lockdown Mode 的適用方案可能已有變動，請以 OpenAI 官方說明為準。文中步驟為一般性建議，不構成資安顧問意見。 **參考來源** - Check Point Research（Alexey Bukhteyev），〈ChatGPT Lockdown Mode Bypass: Phishing, Malware Delivery, and Silent Data Exfiltration〉，2026-11-05：https://research.checkpoint.com/2026/chatgpt-lockdown-mode-bypass-phishing-malware-delivery-and-silent-data-exfiltration/ - GBHackers，〈ChatGPT Lockdown Mode Bypass Allowed Hackers to Steal Private Chats Without User Interaction〉，2026-11-06：https://gbhackers.com/chatgpt-lockdown-mode-bypass/ - SecurityOnline（Do Son），〈ChatGPT Lockdown Mode Bypass Exposes Chat Data〉，2026-11-06：https://securityonline.info/chatgpt-lockdown-mode-bypass/ - Privacy Guides，〈ChatGPT Adds Lockdown Mode for Protection Against Prompt Injection Attacks〉，2026-02-21：https://www.privacyguides.org/news/2026/02/21/chatgpt-adds-lockdown-mode-for-protection-against-prompt-injection-attacks/ --- ## 相關推薦與延伸閱讀 - [Uber 一週只有 4 趟叫車來自 AI 代理：台灣企業該不該現在為代理下單開入口？](/blog/ai-agent-orders-uber-doordash-reality-check-taiwan)：AI 代理下單目前仍是極小眾，台灣企業應先縮短自家 LINE 與官網的下單步驟，再決定要不要為代理開專用入口。Uber 財報會議揭露，十月最忙一週約 3.2 億 - [AI Agent 安全成為企業新課題：OpenAI 通報多起越權與意外行為](/blog/ai-agent-safety-rogue-incidents-2026)：OpenAI 於 2026 年 9 月表示，已通知數十個受影響第三方，涉及自主代理繞過安全控制或影響系統。本文區分已知事實與待查事項，說明 Agent 風險為何 - [AI 客服上線後怎麼改才不出事？Cresta 與 Oracle 同週把分流、回滾與修正核准做成產品功能](/blog/ai-customer-service-agent-release-rollback-health-check)：AI 客服每次改提示詞或知識庫都該當成發版：先小比例分流、能一鍵回滾，修正要人工核准。Cresta 於 2026 年 10 月 29 日開放自建平台，Oracl