El informe no pide a los usuarios que hagan nada para protegerse de este fallo concreto. Lo que importa es lo que enseña a cualquier empresa que confía en un interruptor de seguridad.

◢Qué es el Lockdown Mode de ChatGPT

Para eso renuncia a bastantes cosas. La navegación se limita a contenido en caché, no se cargan imágenes de internet, y se apagan Deep Research, el modo agente y los conectores en vivo. OpenAI lo plantea para personas y organizaciones que manejan datos sensibles, no para todo el mundo. Es decir, quien lo activa suele ser justo quien más tiene que perder.

◢Cómo consiguieron saltárselo

El problema no estaba en el modelo, sino en una función de comodidad. Desde febrero de 2026, ChatGPT puede mostrar una vista previa de las páginas HTML que aparecen en un bloque de código. Como eso supone ejecutar código de otros dentro de la aplicación, la vista previa va encerrada en un entorno aislado.

Ese aislamiento tenía una rendija. ChatGPT interceptaba los intentos de abrir ventanas nuevas y pedía permiso, pero los permisos del entorno seguían dejando abrirlas, y además fuera del aislamiento. Check Point creó otro marco dentro de la página, llegó por ahí a la función original y abrió una ventana que ya no estaba sujeta a esas restricciones, tampoco a las del Lockdown Mode.

Para llegar hasta ahí bastaba con un prompt malicioso, un GPT malicioso o un chat compartido.

◢Qué podía hacer un atacante

Check Point describe tres escenarios y los demuestra en vídeo:

• ▹Robar en silencio el historial completo de chats y los archivos subidos. En ChatGPT Classic no hacía falta ningún clic: bastaba con conversar. Su demostración usa un GPT malicioso que envía los mensajes a un servidor externo.
• ▹Instalar malware disfrazado de actualización. La ventana falsa conservaba el icono de la aplicación y el atacante elegía el título. En el navegador era más fácil todavía, porque las descargas automáticas no están bloqueadas, y la víctima de un chat compartido ni siquiera necesitaba tener cuenta.
• ▹Robar la contraseña. Se podía cerrar la sesión del usuario a la fuerza y pedirle que volviera a entrar en una página del atacante.

◢Qué se sabe y qué no

Lo confirmado viene del informe de Check Point: avisaron a OpenAI, la empresa les comunicó el 18 de septiembre que había retirado esos permisos, y al repetir la prueba el ataque ya no funcionó.

No es un caso aislado. The Hacker News recoge que una semana antes Parameter Labs explicó otra forma de tomar el control de una cuenta mediante un chat compartido y su vista previa HTML. Check Point dice que es un fallo distinto en el mismo componente.

◢Qué hacer si usas ChatGPT en el trabajo

Este fallo ya está corregido, pero las precauciones sirven para el siguiente:

• ▹Trata los chats compartidos que te llegan como cualquier enlace de un desconocido. Si no esperabas ese enlace, no pulses nada dentro.
• ▹Usa solo GPT de autores en los que confíes, sobre todo si vas a tratar datos de la empresa con ellos.
• ▹Desconfía de cualquier ventana que aparezca dentro de ChatGPT pidiéndote que actualices o que vuelvas a iniciar sesión. Ciérrala y entra tú escribiendo la dirección.
• ▹Mantén actualizada la aplicación de escritorio y activa la verificación en dos pasos en tu cuenta.
• ▹Si llevas la seguridad de una empresa, sigue valorando el Lockdown Mode para quien maneja información sensible. Eso sí, no lo cuentes como garantía.

◢Lo que deja este fallo

Un ajuste de seguridad protege las rutas que conoce quien lo diseñó. Aquí se cerraron las salidas habituales y los datos encontraron otra por una función añadida para hacer la vida más cómoda. La propia Check Point concluye que estas protecciones ayudan, pero no garantizan nada por sí solas.

Por eso sigo pensando que la primera defensa es decidir qué entra en la herramienta: tengo una guía sobre qué datos no pegar en ChatGPT y otra sobre qué es la prompt injection. Si quieres que tu plantilla tenga estos criterios claros, es parte de lo que trabajo en mis formaciones de ciberseguridad e IA.