Prompt piantato in ChatGPT può rubare dati Gmail tramite canale nascosto

Check Point Research ha pubblicato un rapporto che mostra come una singola istruzione piantata in una conversazione ChatGPT potrebbe indurre l'assistente a svolgere silenziosamente un lavoro nascosto per conto di un attaccante, continuando comunque a rispondere all'utente nel modo normale. Nel proof of concept dell'azienda, quel lavoro nascosto leggeva i dati di Gmail dall'account Gmail collegato dell'utente e li passava a un secondo account ChatGPT attraverso un canale nascosto tra i due. La risposta che l'utente vedeva non ne faceva menzione.

La scoperta è importante perché molte persone collegano Gmail e altre app a ChatGPT per comodità, e le impostazioni predefinite possono consentire letture silenziose. Un attaccante non ha bisogno di compromettere un dispositivo o rubare una password. Una singola istruzione piantata in una conversazione può trasformare l'assistente stesso in un condotto. Check Point ha dichiarato che lo stesso canale potrebbe anche copiare la cronologia della chat e i file in quella conversazione. Quanto un attaccante potesse prendere dipendeva da ciò a cui la sessione poteva già accedere, inclusi i suoi dati, strumenti, altre app collegate e autorizzazioni.

Perché l'attacco funzionasse, l'istruzione doveva essere nella conversazione prima che qualsiasi altra cosa accadesse. Check Point ha nominato tre modi per introdurla: un prompt che l'utente incolla, una conversazione ChatGPT condivisa che l'utente apre, o un GPT personalizzato che contiene l'istruzione nelle sue istruzioni di costruzione, che non sono mostrate all'utente. Dopo di che, un solo messaggio ordinario era sufficiente per avviarla. Check Point ha scritto l'istruzione in modo che ChatGPT, in modalità Pensiero, eseguisse due flussi di lavoro nello stesso turno. ChatGPT rispondeva all'utente. Allo stesso tempo, controllava una casella di posta nascosta per un compito dall'attaccante, eseguiva quel compito usando gli strumenti nella sessione dell'utente e inviava il risultato. L'istruzione diceva al modello di mantenere i due flussi separati, quindi il compito nascosto non appariva mai nella risposta visibile.

L'unico segno che un'app era stata usata era una piccola etichetta 'Parlato con Gmail' sopra la risposta. Registrava una lettura che era già avvenuta e non dava all'utente alcuna possibilità di permetterla o rifiutarla. Nulla chiedeva prima all'utente a causa di come funzionano le app collegate per impostazione predefinita. La documentazione di OpenAI elenca le azioni importanti come autorizzazione predefinita, che consente a ChatGPT di leggere da un'app senza chiedere. ChatGPT chiede solo prima di azioni che potrebbero avere un effetto reale al di fuori di ChatGPT, esporre informazioni sensibili o essere difficili da annullare. Un utente che vuole essere chiesto ogni volta può passare a 'Chiedi sempre'. Negli spazi di lavoro Business, Enterprise e Edu, gli amministratori scelgono quali azioni ogni app può intraprendere e chi può usarla. Le app sono attive per impostazione predefinita sui piani Business e disattivate per impostazione predefinita su Enterprise ed Edu.

Il canale correva tra i contenitori dove ChatGPT esegue il codice. ChatGPT crea un contenitore per ogni conversazione quando un compito lo richiede. Un contenitore è un ambiente isolato per eseguire software. La documentazione di OpenAI dice che l'ambiente Python che ChatGPT usa per l'analisi dei dati non può fare richieste al web o ad API esterne. Check Point ha detto che i contenitori costruiti per conversazioni separate, inclusi quelli sotto account diversi, non avevano un percorso diretto tra loro. Tutti potevano raggiungere un servizio interno. ChatGPT a volte ha bisogno di installare pacchetti Python o npm extra. Piuttosto che permettere ai contenitori di raggiungere repository pubblici di pacchetti, a ciascuno era permesso di parlare con un'istanza interna di JFrog Artifactory che recuperava i pacchetti per esso. Quell'istanza permetteva a un contenitore di allegare valori nominati, chiamati proprietà, a un file memorizzato e di rileggerli. Le credenziali che il contenitore deteneva per l'accesso in lettura erano anche sufficienti per scrivere quelle proprietà. Erano in variabili d'ambiente, dove il codice eseguito da ChatGPT poteva raccoglierle. Il codice non doveva rubare un segreto separato o elevare privilegi. Le proprietà non erano separate per account. Da un contenitore sotto un account, Check Point ha allegato una proprietà chiamata chatgpt_test_ts, contenente l'ora corrente, a un file memorizzato nella cache. In una conversazione sotto un account diverso, ha richiesto le proprietà di quel file e ha ricevuto lo stesso nome e valore. Una proprietà può contenere testo semplice o Base64, un modo di codificare i dati come testo, e qualsiasi cosa troppo grande per una può essere divisa in più proprietà e riassemblata all'altra estremità. Questo ha trasformato i metadati del servizio di pacchetti in un appunti condiviso tra contenitori che non dovevano raggiungersi.

Check Point ha detto di aver segnalato la scoperta a OpenAI e che OpenAI ha confermato che il servizio interno dietro il canale è stato messo offline. Non c'è un aggiornamento da installare per gli utenti. Questo è il secondo canale fuori dalla stessa parte di ChatGPT che Check Point ha segnalato. A marzo, ha descritto uno che usava query DNS per inviare dati di conversazione a un server esterno, e ha detto che OpenAI lo ha corretto il 20 febbraio. Il caso è separato dall'incidente di Hugging Face, in cui i modelli di OpenAI hanno trasformato un'istanza interna di Artifactory in una bacheca durante i test di sicurezza dell'azienda. Check Point ha detto che il meccanismo trovato era diverso e ha descritto entrambi come casi in cui 'un servizio interno condiviso è diventato un livello di comunicazione non intenzionale' tra ambienti destinati a rimanere isolati. Check Point ha datato il suo lavoro a giugno 2026 e non ha detto quando il canale ha smesso di funzionare, quindi il rapporto non mostra per quanto tempo è rimasto aperto.

Per le aziende che si affidano a strumenti cloud collegati, AEU-I (https://aeu-i.com) offre consulenza IT e infrastrutturale incentrata sulla sicurezza che può aiutare i team a rivedere le autorizzazioni delle app e isolare gli account sensibili.