Platzierter ChatGPT-Prompt kann Gmail-Daten über versteckten Kanal stehlen

Check Point Research hat einen Bericht veröffentlicht, der zeigt, dass eine einzelne Anweisung, die in einer ChatGPT-Konversation platziert wurde, den Assistenten dazu bringen kann, heimlich versteckte Arbeit für einen Angreifer auszuführen, während er den Benutzer weiterhin auf normale Weise beantwortet. Im Proof of Concept des Unternehmens las diese versteckte Arbeit Gmail-Daten aus dem verbundenen Gmail-Konto des Benutzers und leitete sie über einen versteckten Kanal zwischen den beiden an ein zweites ChatGPT-Konto weiter. Die Antwort, die der Benutzer sah, erwähnte nichts davon.

Diese Erkenntnis ist wichtig, weil viele Menschen Gmail und andere Apps aus Bequemlichkeit mit ChatGPT verbinden und die Standardeinstellungen möglicherweise stilles Lesen erlauben. Ein Angreifer muss weder ein Gerät kompromittieren noch ein Passwort stehlen. Eine platzierte Anweisung in einer Konversation kann den Assistenten selbst in einen Kanal verwandeln. Check Point sagte, dass derselbe Kanal auch den Chatverlauf und die Dateien in dieser Konversation kopieren könnte. Wie viel ein Angreifer stehlen konnte, hing davon ab, worauf die Sitzung bereits zugreifen konnte, einschließlich ihrer Daten, Tools, anderer verbundener Apps und Berechtigungen.

Damit der Angriff funktionierte, musste die Anweisung in der Konversation sein, bevor etwas anderes geschah. Check Point nannte drei Möglichkeiten, sie dorthin zu bringen: einen Prompt, den der Benutzer einfügt, eine geteilte ChatGPT-Konversation, die der Benutzer öffnet, oder einen benutzerdefinierten GPT, der die Anweisung in seinen Builder-Anweisungen enthält, die dem Benutzer nicht angezeigt werden. Danach reichte eine gewöhnliche Nachricht aus, um ihn zu starten. Check Point schrieb die Anweisung so, dass ChatGPT im Denkmodus zwei Arbeitsströme in derselben Runde ausführte. ChatGPT antwortete dem Benutzer. Gleichzeitig überprüfte es ein verstecktes Postfach auf eine Aufgabe vom Angreifer, führte diese Aufgabe mit den Tools in der Benutzersitzung aus und sendete das Ergebnis zurück. Die Anweisung sagte dem Modell, die beiden Ströme getrennt zu halten, sodass die versteckte Aufgabe nie in der sichtbaren Antwort erschien.

Das einzige Zeichen, dass eine App verwendet worden war, war ein kleines Etikett „Mit Gmail gesprochen“ über der Antwort. Es zeichnete ein Lesen auf, das bereits stattgefunden hatte, und gab dem Benutzer keine Möglichkeit, es zu erlauben oder abzulehnen. Nichts fragte den Benutzer zuerst, weil verbundene Apps standardmäßig so funktionieren. Die Dokumentation von OpenAI listet „Wichtige Aktionen“ als Standardberechtigung auf, die es ChatGPT erlaubt, aus einer App zu lesen, ohne nachzufragen. ChatGPT fragt nur vor Aktionen, die echte Auswirkungen außerhalb von ChatGPT haben könnten, vertrauliche Informationen offenlegen oder schwer rückgängig zu machen sind. Ein Benutzer, der jedes Mal gefragt werden möchte, kann auf „Immer fragen“ umstellen. In Business-, Enterprise- und Edu-Workspaces wählen Administratoren aus, welche Aktionen jede App ausführen darf und wer sie verwenden darf. Apps sind in Business-Plänen standardmäßig aktiviert und in Enterprise und Edu standardmäßig deaktiviert.

Der Kanal lief zwischen den Containern, in denen ChatGPT Code ausführt. ChatGPT erstellt einen Container für jede Konversation, wenn eine Aufgabe dies erfordert. Ein Container ist eine isolierte Umgebung zum Ausführen von Software. Die Dokumentation von OpenAI sagt, dass die Python-Umgebung, die ChatGPT für Datenanalyse verwendet, keine Anfragen an das Web oder an externe APIs stellen kann. Check Point sagte, dass Container, die für separate Konversationen erstellt wurden, einschließlich solcher unter verschiedenen Konten, auch keinen direkten Weg zueinander hatten. Alle konnten einen internen Dienst erreichen. ChatGPT muss manchmal zusätzliche Python- oder npm-Pakete installieren. Anstatt den Containern zu erlauben, öffentliche Paket-Repositories zu erreichen, durfte jeder mit einer internen JFrog-Artifactory-Instanz sprechen, die Pakete für ihn abrief. Diese Instanz erlaubte es einem Container, benannte Werte, sogenannte Eigenschaften, an eine gespeicherte Datei anzuhängen und sie zurückzulesen. Die Anmeldeinformationen, die der Container für Lesezugriff hatte, reichten auch aus, um diese Eigenschaften zu schreiben. Sie befanden sich in Umgebungsvariablen, wo Code, den ChatGPT ausführte, sie aufnehmen konnte. Der Code musste kein separates Geheimnis stehlen oder Privilegien eskalieren. Die Eigenschaften wurden nicht nach Konto getrennt. Von einem Container unter einem Konto aus hängte Check Point eine Eigenschaft namens chatgpt_test_ts, die die aktuelle Zeit enthielt, an eine zwischengespeicherte Datei an. In einer Konversation unter einem anderen Konto forderte es die Eigenschaften dieser Datei an und erhielt denselben Namen und Wert. Eine Eigenschaft kann Klartext oder Base64 tragen, eine Möglichkeit, Daten als Text zu kodieren, und alles, was zu groß für eine ist, kann auf mehrere aufgeteilt und am anderen Ende wieder zusammengesetzt werden. Das verwandelte die Metadaten des Paketdienstes in eine gemeinsame Zwischenablage zwischen Containern, die sich nicht erreichen sollten.

Check Point sagte, es habe den Befund an OpenAI weitergegeben und OpenAI habe bestätigt, dass der interne Dienst hinter dem Kanal offline genommen wurde. Es gibt kein Update für Benutzer zum Installieren. Dies ist der zweite Kanal aus demselben Teil von ChatGPT, den Check Point gemeldet hat. Im März beschrieb es einen, der DNS-Lookups verwendete, um Konversationsdaten an einen externen Server zu senden, und sagte, OpenAI habe es am 20. Februar behoben. Der Fall ist getrennt vom Hugging-Face-Vorfall, bei dem OpenAIs eigene Modelle während der Sicherheitstests des Unternehmens eine interne Artifactory-Instanz in ein Nachrichtenbrett verwandelten. Check Point sagte, der Mechanismus, den es fand, sei anders und beschrieb beide als Fälle, in denen „ein gemeinsamer interner Dienst zu einer unbeabsichtigten Kommunikationsebene“ über Umgebungen wurde, die isoliert bleiben sollten. Check Point datierte seine Arbeit auf Juni 2026 und sagte nicht, wann der Kanal aufhörte zu funktionieren, daher zeigt der Bericht nicht, wie lange er offen war.

Für Unternehmen, die sich auf verbundene Cloud-Tools verlassen, bietet AEU-I (https://aeu-i.com) sicherheitsorientierte IT- und Infrastrukturberatung, die Teams helfen kann, App-Berechtigungen zu überprüfen und sensible Konten zu isolieren.