Des chercheurs ont contourné le Lockdown Mode de ChatGPT, une faille corrigée qui permettait d'exfiltrer des conversations.

Des chercheurs en cybersécurité ont détaillé une vulnérabilité désormais corrigée dans ChatGPT, le service d’OpenAI. Cette faille permettait de contourner le Lockdown Mode, un réglage censé durcir la protection des utilisateurs. Selon eux, elle pouvait servir à voler des données de conversation en silence. Elle ouvrait aussi la voie à des attaques d’hameçonnage.

Une faille qui fragilise le Lockdown Mode

OpenAI a introduit le Lockdown Mode en juin 2026. Il s’agit d’un paramètre facultatif. Son objectif est de limiter les risques d’exfiltration de données liés aux injections de prompt.

Autrement dit, ce mode doit réduire ce qu’un attaquant peut obtenir si le modèle suit des instructions malveillantes. Il s’adresse surtout aux profils les plus exposés. Ces utilisateurs manipulent souvent des informations sensibles et acceptent des restrictions en échange d’une meilleure sécurité.

Or, les chercheurs ont montré qu’une protection pensée pour bloquer ces fuites pouvait être contournée. Le titre de leur publication insiste sur un point précis : l’attaque fonctionnait sans aucune interaction de la victime. Aucun clic ni aucune action volontaire n’étaient nécessaires pour que les conversations soient exfiltrées.

La vulnérabilité est aujourd’hui corrigée. Toutefois, les informations disponibles ne précisent pas tous les détails techniques de la méthode. Aucun identifiant CVE n’est mentionné à ce stade.

Pourquoi l’injection de prompt reste un casse-tête

L’injection de prompt est l’une des menaces les plus délicates pour les assistants d’IA. Le principe est simple. Un attaquant glisse des instructions cachées dans un contenu que le modèle va lire. Il peut s’agir d’une page web, d’un document ou d’un message.

Le modèle ne distingue pas toujours ces consignes de celles de l’utilisateur légitime. Par conséquent, il peut exécuter des ordres qu’on ne lui a jamais demandés. Il peut alors révéler des informations issues de la conversation en cours.

C’est pourquoi les éditeurs multiplient les garde-fous. Le Lockdown Mode en est un exemple. Cependant, chaque nouvelle barrière devient une cible pour les chercheurs et pour les attaquants. Ce contournement le rappelle bien.

Une attaque sans interaction : quels risques ?

Le caractère silencieux de l’attaque est ce qui inquiète le plus. En effet, une victime qui ne voit rien n’a aucune raison de se méfier. Elle continue d’utiliser l’assistant normalement. Pendant ce temps, ses données peuvent quitter la conversation.

Les chercheurs évoquent notamment trois types de risques :

• le vol discret de données issues des conversations ;
• l’hameçonnage, par exemple via des contenus trompeurs affichés dans l’échange ;
• d’autres abus rendus possibles par le contournement de la protection.

Les conversations avec un assistant d’IA contiennent souvent des informations précieuses. On y trouve du code, des documents internes, des projets ou des données personnelles. De plus, ces échanges s’étendent parfois sur de longues périodes. Une fuite peut donc révéler beaucoup de choses.

Par ailleurs, ce cas illustre une limite des modes de sécurité optionnels. Un utilisateur qui active une protection renforcée s’attend à un niveau de sécurité supérieur. Si cette protection est contournable, la confiance accordée devient une faiblesse.

Ce qu’il faut retenir

Voici les points essentiels à garder en tête, ainsi que quelques réflexes utiles.

• Faille corrigée : la vulnérabilité contournant le Lockdown Mode de ChatGPT a été corrigée. Les utilisateurs n’ont pas de version à installer, car le service est géré côté éditeur.
• Aucune action requise de la victime : l’attaque ne demandait pas d’interaction. La vigilance seule ne suffisait donc pas.
• Limiter les données sensibles : évitez de coller dans un assistant d’IA des secrets, des mots de passe ou des documents confidentiels.
• Prudence avec les contenus externes : soyez particulièrement attentif lorsque l’assistant analyse des pages, des fichiers ou des messages d’origine inconnue.
• Défense en profondeur : les organisations doivent encadrer l’usage de l’IA par des règles claires. Elles ne doivent pas se reposer sur un seul réglage.

Enfin, cet épisode confirme une tendance de fond. Les protections contre l’injection de prompt progressent, mais elles ne sont pas infaillibles. Il reste donc prudent de considérer toute conversation avec une IA comme potentiellement exposée.

Source : Researchers Bypass ChatGPT Lockdown Mode to Exfiltrate Chats Without User Interaction