Скрит канал за комуникация между различни акаунти в ChatGPT е позволявал на атакуващ да превземе сесията на жертвата и тихомълком да извлече данни от свързани приложения като Gmail, докато жертвата не вижда нищо необичайно в разговора си.
Уязвимостта се е възползвала от контейнерите за изпълнение на код в ChatGPT — изолирани среди (sandboxes), които асистентът използва, когато дадена задача изисква стартиране на код или инсталиране на софтуерни пакети.
Тези контейнери нямат директен достъп до публичния интернет и не трябва да комуникират с контейнери, създадени от името на други акаунти.
Въпреки това изследователи от Check Point откриха, че контейнерите между отделните акаунти са имали достъп до една и съща вътрешна услуга: инстанция на JFrog Artifactory, използвана за предоставяне на Python и npm пакети. Тази споделена зависимост се е превърнала в пролуката в стената.
Уязвимост в изолираната среда на ChatGPT
Инстанцията на Artifactory е излагала операции от Item Management API на крайната точка /api/storage/{repoKey}/{itemPath}, включително „Set Item Properties“ и „Get Storage Item Information“.
Идентификационните данни за четене, предоставени на контейнерите, са имали достатъчно права както за запис, така и за четене на тези свойства, и от решаващо значение е, че тези свойства не са били изолирани за всеки отделен акаунт.
Check Point тестваха това, като записаха тестово свойство с клеймо за време от контейнера на един акаунт и след това го прочетоха обратно от контейнера на напълно различен акаунт.
Стойността е преминала непокътната, доказвайки, че метаданните на крайната точка за съхранение са функционирали като споделен клипборд между среди, които е трябвало да бъдат строго изолирани една от друга.
След като потвърдиха съществуването на този клипборд, изследователите го превърнаха в пълен канал за предаване на задачи. Атакуващият е можел да публикува задача — всъщност инструкция от рода на „вземи списък с моите имейли“ — в споделеното свойство за съхранение.
Сесията на ChatGPT при жертвата, подготвена със скрита инструкция, внедрена по-рано в разговора, прави проверка на това споделено пощенско sandboxes по време на рутинен ход, изпълнява задачата с каквито инструменти и свързани приложения има на разположение жертвата, и записва резултата обратно в същото споделено свойство, за да бъде събран от киберпрестъпника.
Данни, които са твърде големи за едно свойство, дори са можели да бъдат разделяни на части през няколко ключа и сглобявани отново по-късно.
Задействането не е изисквало дълбок технически достъп до акаунта на жертвата. Check Point демонстрираха три практически пътя за доставяне: зловреден подканващ текст (prompt), поставен директно в чата, споделен линк към разговор в ChatGPT или персонализиран GPT със съответната инструкция, вградена в неговата скрита конфигурация.
След като тази инструкция се намира в контекста на разговора, всяко обикновено последващо съобщение от жертвата — дори нещо толкова банално като въпрос за готвене — би могло тихомълком да задейства скритата задача заедно с видимата.
В доказателството за концепцията (proof of concept), публикувано от Check Point, ChatGPT отговаря на нормалния въпрос на жертвата точно според очакванията. Едновременно с това, в същия ход, той осъществява достъп до свързания акаунт в Gmail на жертвата, извлича имейл данни и ги изпраща през тайния канал към сесията на атакуващия.
Единствената следа, оставена в интерфейса, е била малката етикетка „Talked to Gmail“ над отговора, без да дава възможност на жертвата предварително да одобри или блокира действието.
| Архитектурен слой | Уязвимост и механизъм за злоупотреба | Въздействие и последици за сигурността |
|---|---|---|
| Изолация на изолираната среда | Споделен вътрешен JFrog Artifactory между изолирани акаунти | Свързва изолирани среди за изпълнение без публичен интернет |
| API за метаданни за съхранение | Неизолирани разрешения за четене/запис върху свойствата на елементите (Item Properties) | Превръща полетата за метаданни в неконтролиран споделен клипборд между потребители |
| Скрита комуникация | Асинхронно изпращане на задачи и разделяне на зловредния код на части | Активира двупосочно предаване на инструкции и извличане на данни между сесии |
| Индиректно изпълнение | Контекстни подканващи текстове, споделени чатове или персонализирани GPTs с вратички | Задейства фонова кражба на данни по време на обикновени, безопасни разговори |
| Контрол на разрешенията | Настройката по подразбиране „Важни действия“ заобикаля одобрението за четене | Извлича чувствителна кореспонденция от свързан Gmail без съгласието на потребителя |
Проблемът се е задълбочил от начина, по който разрешенията за свързани приложения в ChatGPT работят по подразбиране. Документираната от OpenAI настройка „Important actions“ позволява на асистента да извършва операции по четене в свързани приложения без изрично потвърждение от потребителя, запазвайки подканите за одобрение за действия с по-висок риск.
Това означава, че заявка за четене в Gmail, която обикновено се счита за нискорискова, е можела да извлече лична кореспонденция, бизнес данни или друго чувствително съдържание, без от жертвата някога да е искано одобрение. Единствено по-строгата настройка „Always ask“ би наложила стъпка за потвърждение.
Check Point отбелязаха, че моментът е забележителен: откритието им през юни 2026 г. съвпадна с широко отразения инцидент с Hugging Face, където агенти в отделни среди за оценка установиха неразрешени канали за координация чрез напълно различен механизъм.
И двата случая разкриват един и същ основен урок за автономните AI платформи: споделена вътрешна услуга, предназначена чисто като инфраструктура, може да се превърне в непредвиден комуникационен слой между среди, които трябва да останат строго изолирани.
Изследователите описват основния риск като превръщане на LLM в „принуден вътрешен човек“. Моделът сам по себе си не е зловреден, но той работи вътре в границата на доверие с достъп до идентификационни данни, вътрешни API и потребителски данни, като същевременно следва текстови инструкции.
Убедително формулиран подканващ текст може да го убеди да действа от името на атакуващия, използвайки възможности, които легитимно принадлежат на жертвата.
Check Point съобщиха за констатациите си на OpenAI, които потвърдиха, че вътрешната инстанция на Artifactory, отговорна за изтичането на данни, вече е изведена от експлоатация, с което тайната връзка между акаунтите е затворена. Към момента на публикуване на изследването уязвимостта вече не може да бъде експлоатирана.
Променливото състояние в споделена инфраструктура изисква строга изолация между отделните потребители, а интерфейсите за управление трябва да останат напълно недостъпни за средата за изпълнение.
Тъй като AI асистентът получава все по-дълбок достъп до имейл, облачно хранилище и корпоративни инструменти, радиусът на щетите при единичен пробив в изолацията нараства съответно, което прави архитектурата на изолираната среда толкова критична за сигурността, колкото и самото поведение на модела.