ChatGPT Kilidini Aşıp Kullanıcı Etkileşimi Olmadan Sohbetleri Dışarı Aktaran Araştırmacılar.

Siber güvenlik araştırmacıları, OpenAI ChatGPT‘deki Lockdown Mode korumalarını atlatmak için kullanılabilecek ve artık yamalanmış olan bir açıklık hakkında ayrıntılar paylaştı.

Lockdown Mode, yapay zekâ (AI) şirketi tarafından Haziran 2026’da, prompt enjeksiyonlarından kaynaklanan veri sızdırma risklerini en aza indirmeyi amaçlayan isteğe bağlı bir ayar olarak tanıtıldı.

“Hata, sessiz sohbet verisi hırsızlığı, oltalama (phishing) ve kötü amaçlı yazılım teslimi dahil olmak üzere ChatGPT masaüstü uygulamasında tıklama gerektirmeyen (zero-click) veri sızdırmayı mümkün kılabilir,” dedi Check Point araştırma direktori Eli Smadja, The Hacker News ile paylaştığı bir raporda.

Sorun, ChatGPT kod blokları içindeki HTML sayfa önizlemelerinden kaynaklanıyor; bunlar HTML içeriğinin uygulama içinde doğrudan işlenmesine olanak tanıyor. Kullanıcı tarafından sağlanan HTML ve JavaScript’in çalıştırılmasının kendi içinde güvenlik riskleri taşıyabileceğinden, içerik bir kum havuzuna (sandbox) yerleştirilerek uygulamanın çerezleri ve yerel depolama gibi verilerine erişemesi engelleniyor.

Kum havuzu, aynı zamanda işlenen içeriğin kullanıcı onayı olmadan dış kaynaklarla iletişim kurmasını da önliyor. Lockdown Mode ise hassas bilgilerin saldırgan kontrolündeki altyapıya aktarılmasında kullanılabilecek çıkış ağ isteklerini sınırlayarak veri sızdırma riskini azaltan bir güvenlik bariyeri işlevi görüyor.

Buna rağmen Check Point, HTML önizlemeleri sırasında açılır pencerelerin nasıl işlendiğine dair kum havuzundan kaçışı ve Lockdown Mode’un atlatılmasını mümkün kılan bir boşluk buldu.

“HTML önizlemesi iç içe kum havuzlu çerçeveler kullanıyordu ve ChatGPT yeni pencereler açmaya yönelik doğrudan girişimleri engellediği halde, alt düzey kum havuzu izinleri açılır pencerelere izin vererek onların kum havuzundan kaçmasını sağladı,” dedi Smadja.

“İşlenen sayfa içinde başka bir iç içe çerçeve oluşturarak, orijinal HTML önizlemesine konan kısıtlamaları atlatan, değiştirilmemiş bir açılır pencere fonksiyonuna erişmek mümkündü. Bu yol üzerinden açılan içerik artık aynı kum havuzu kısıtlamalarına tabi değildi ve Lockdown Mode korumalarını atlatmaya olanak tanıdı.”

Kısıtlamalar aşıldıktan sonra, bir tehdit aktörü bu açığı veri, sohbet mesajları sızdırmak veya bir kurgulanmış istem, kötü amaçlı bir GPT veya paylaşılmış bir sohbet aracılığıyla kötü amaçlı yükler iletmek için kullanabilir.

Daha da önemlisi, saldırgan açılır pencerede görüntülenen içeriğin üzerinde tam kontrole sahip olduğundan, sahte bir ChatGPT güncellemesi gibi ikna edici bir sosyal mühendislik tuzakları oluşturulabilir ve mağdurun kötü amaçlı yazılım indirmesi için bir linke tıklamaya ikna edilerek kandırılması sağlanabilir.

Bu arada, asıl sorun yalnızca Electron tabanlı masaüstü ortamıyla sınırlı değil; bu da AI modelinin kapsamının dışında kalan zayıflıkların yapay zekâ güvenlik kontrollerini nasıl zayıflatabileceğini gösteriyor. Sorumlu ifşa sonrasında, açık 18 Eylül 2026’da OpenAI tarafından giderildi.

“Lockdown Modu, başlangıçta veri potansiyel olarak kötü amaçlı çıkış istekleri aracılığıyla bir sohetin dışına çıkma olasılığını azaltmak için tasarlanmıştı; ancak başka bir uygulama özelliğindeki bir açık, bu güvenlik sınırının etrafında alternatif bir yol sağladı,” dedi Smadja.

“Bulma, daha geniş bir kurumsal güvenlik sorununu gündeme getiriyor: Yapay zekâ güvenlik kontrolleri ancak onları çevreleyen daha geniş uygulama ortamının gücü kadar güçlüdür.”

İfşa, bir hafta önce Parameter Labs’ın ChatGPT’nin kumbara ortamını ve içerik güvenlik politikasını (CSP) atlatıp yalnızca bir saldırganın kontrolündeki halka ChatGPT paylaşım bağlantısı gönderip HTML önizlemesine bir kez tıklamalarını istemek suretiyle herhangi bir hesabın kontrolünü ele geçirme yolunu detaylandırdığı bir hafta sonra geldi. HTML bloğu önizlenebilir olarak işaretlenirse otomatik olarak açılır.

“Bir saldırgan kötü amaçlı bir sohbet oluşturabilir, bunu ChatGPT’nin normal paylaşım özelliğini kullanarak yayınlayabilir ve bağlantıyı başka bir kullanıcıya gönderebilir,” güvenlik araştırmacısı Mukul Goyal dedi. “Mağdur paylaşımdı açtığında, yük chatgpt[.]com altında, mağdurun kimliği doğrulanmış web oturumuna erişimle çalıştırdı.”

Bu yılın Eylül ayında Check Point ayrıca, bir saldırganın görünen sohbetin yanı sıra o oturuma erişilebilir araçları, verileri ve bağlı uygulamaları kullanarak bir mağdurun ChatGPT oturumunu gizli görevleri çalıştırmak için kullanmasına olanak tanıyan hesaplar arası gizli bir komut kanalı göstermişti.

“Mağdur, görünür isteğine normal bir yanıt alırken, saldırganın görevinin ayrı işlenmesi ve sonucunun hesaplar arasında aktarılması mümkündür,” diye açıkladı Check Point. “Kanal, farklı ChatGPT hesaplarına ait kod çalıştırma ortamları üzerinden işledi.”

“Gizli talimat, kötü amaçlı bir istem, paylaşılan bir ChatGPT görüşmesi veya özel bir GPT aracılığıyla iletilebilir. Görüntülenen yanıtta ortaya çıkmadan, sıradan bir mesaj saldırgan kontrolündeki görevi tetikleyebilirdi,” dedi firma.

Bulgular, son birkaç aydır çeşitli yapay zekâ destekli araç ve hizmetlerin sırları ifşa etmesi veya yetkisiz eylemler gerçekleştirmesi için kandırılması yönünde ortaya çıkan güvenlik açıkları buluntularıyla örtüşüyor:

• SkillJacking olarak adlandırılan ve becerilerin (depolama alanları, paketler, alan adları veya bulut uygulamaları) kullanımını ele geçirerek onları kuran her ajanı zayıflatan bir saldırı.

• Cursor, GitHub Copilot, OpenAI Codex, Microsoft Visual Studio Code ve Anthropic Claude Desktop dahil beş yapay zekâ kodlama asistanıyla ilişkili yerleşik tarayıcılarda, bir ana makinede kod çalıştırma, dosyaları okuma ve çalma ya da web tarayıcısı adres çubuklarını sahtekârlıkla taklit etme amacıyla sömürülebilir açıklar. Sorunlar, EMbedded BRowser – Arbitrary Code Execution, Arbitrary Content Exfiltration ve Arbitrary Context Emulation ifadelerinin kısaltması olan Embrace kod adını taşıyor.

• LangChain LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents ve CrewAI’yi hedef alan ve “görünüşte zararsız metin tekrar isteği” yoluyla araç çağrılarını çalıştırmaya yönlendiren Repeat-After-Me olarak adlandırılan bir teknik.

• AWS Bedrock AgentCore üzerinde çalışan ve erişilebilir durumda bir yapay zeka ajanını etkilemek için enjeksiyon tekniklerini kullanarak ajanın IMDS kimlik bilgilerini alması ve ardından bunları başka ajanlara erişmek, özel konuşmaları okumak, bağlı araçların kimlik bilgilerini çalmak ve ajan davranışını manipüle etmek için kullanmak mümkün kılabilen AgentCorruption adlı bir açıklık.

• SpaceXSI Grok ve GitHub Copilot CLI’de bulunan ve tek bir web sayfasından dolaylı enjeksiyon yoluyla kötü amaçlı talimatları AES şifreli metin içine gizleyerek bir geliştiricinin yerel dosyalarını okuyup harici bir sunucuya gönderecek şekilde sömürülebilen Cryptographic Context Injection adlı bir açıklık.

• Web-to-Lead formunu kullanarak dolaylı enjeksiyon yükü yerleştirmek suretiyle Salesforce Agentforce içinde hassas hesap verilerini çıkarmak için sömürülebilen SalesBleed adlı sıfır tıklamalı bir açıklık.

• Sıfır tıklamalı bir yetkiye sahip yerel bir saldırganın (veya sürecin) Meta Muse’un dikte trafiğini yönlendirmesine ve yapay zeka asistanına verilen izinleri keyfi eylemleri gerçekleştirmek için kötüye kullanmasına olanak tanıyan not-a-mused adlı bir kavram kanıtı (PoC) saldırısı.

• Bir AI tedarik zinciri saldırısı yürütmek için sömürülebilen, SHA sabitlemesini atlayarak güvenilir bir eklentiyi sessizce kötü amaçlı bir eklentiyle değiştiren Plugin4Shell adlı sıfır tıklamalı bir açıklık. “Ajant, marketin sabitlediği tam commit’i kontrol eder ancak oraya ulaşıp ulaşmadığını asla doğrulamaz, bu nedenle eklentinin deposunu kontrol eden bir saldırgan, sabitleme hala sayılıyormuş gibi checkout işleminin kötü amaçlı koda çözümlemesini sağlar,” Air Security belirtti. “Sonuç, Claude Code, Codex, GitHub Copilot ve Gemini CLI üzerinden sıfır tıklamalı uzak kod yürütme oluyor.”

• Google Chrome, Microsoft Edge, Opera Neon, Perplexity Comet ve Chrome içindeki Anthropic Claude gibi tarayıcılara gömülü yapay zeka ajanlarını, zaten yüklü bir kötü amaçlı tarayıcı eklentisiyle birlikte zorlayıcı istem (prompt forcing) tekniğini kullanarak ele geçirmeye yarayan BragJack adlı bir saldırı.

• Kısa sürede büyük dil modellerinin (LLM) çıktısına görünmez bir filigran eklemenin, modelin nasıl davrandığını—çağırdığı araçlar dahil—istemeyecek şekilde değiştirebileceğini ve muhtemelen güvenlik reddetmelerini zayıflatabileceğini gösteren sampling drift adlı bir davranışsal etki. “Filigranlama, doğrudan zararlı isteklerde reddetme davranışını değiştiriyor ancak etki, aynı istekler istem enjeksiyonu tekniğiyle eşlendiğinde daha belirgin hale geliyor,” dedi Lasso Security. “Birçok modelde filigranlama, modelin daha sonra daha önce reddedeceği zararlı istekleri yanıtlama eğilimini artırıyor.”

• Müşteri hizmetleri yapay zeka ajanlarını, kimlik avı (phishing) e-postaları oluşturup göndermek, araç çağrıları yapmak ve çok faktörlü kimlik doğrulama (MFA) korumalarını atlatmak için kullanan bir dizi saldırı.

• Hafif bir korumacı model tarafından yürütülen hızlı LLM tabanlı politika kontrollerini atlatan, kötü amaçlı isteği özel olarak kurgulanmış bir metin sarmalının içine yerleştirip ardından yükü daha güçlü bir hedef modelin işleyerek kötü amaçlı eylemleri tetiklemesini sağlayan PuzzleMask adlı bir istem kurgulama tekniği.

• Workflow Identity Hijacking adlı bir teknik, saldırganın kimliği doğrulanmamış bir giriş noktası üzerinden normal ve zararsız istekler göndererek standart kontrollerin atlanmasını ve kurumsal AI hattının bu isteği işleyip eylemi tasarlandığı gibi yerine getirmesini sağlıyor. “Temel hata, isteği yapan kişinin bu isteği verme yetkisine sahip olmaması,” Noma Security, “Bir AI iş akışı aşağı yönde eylemler gerçekleştirdiğinde, harici kullanıcının izinlerini uygulamak yerine yüksek ayrıcalıklı hesaplar veya geliştirici API anahtarları kullanarak çalışıyor. Sonuç olarak, AI iş akışları ayrıcalıklı eylemler için kimliği doğrulanmamış vekillere ve sessiz veri sızdırma işlevine dönüşüyor.”

• Agentic tarayıcılara gömülü AI ajanlarını ele geçirmek için e-postalar, takvim davetleri veya web sayfaları içine kötü amaçlı talimatlar yerleştirerek sömürülebilecek ve ajanın “kullanıcının kendi kimliği, izinleri ve erişimi kullanarak saldırgan adına hareket etmesine” yol açmak için intent collision olarak adlandırılan bir tekniği sömürülebilecek, PleaseFix adlı bir sıfır tıklamalı açık sınıfı.

• Anthropic, Google ve OpenAI’ın AI kodlama ajanlarını etkileyen, bir mağdurun sırlarını ele geçirmeleri için bunların kandırılması, AGENTS.md dosyasının değiştirilmesiyle kalıcı talimat zehirlenmesi sağlanması ve GitHub sorunları gibi güvensiz kullanıcı girişleri içine yerleştirilen prompt enjeksiyonları aracılığıyla yazılım sürümlerinin zayıflatılması mümkün olan açıklar dizisi.

“Ajanlar, CI/CD, mesajlaşma, yönlendirme, olay müdahalesi ve destek alanında varsayılan altyapıya dönüşüyor,” Novee Security, “Ne kadar otonom hale gelirlerse, kılıfın sizin adınıza neyin güvenli olduğuna karar verme yetkisi o kadar artar ve güvensiz giriş gerçek yürütmeyle o kadar çok karşılaşır.”

Yamalı bir ChatGPT HTML önizleme açığı, Lockdown Mode kısıtlamalarını atlatmayı ve sohbet verilerinin sızdırılmasını sağladı