Un’istruzione malevola inserita in una conversazione di ChatGPT poteva far leggere all’assistente dati di Gmail collegato e inoltrarli a un altro account, mentre all’utente veniva mostrata una normale risposta. Il meccanismo è stato descritto da Check Point Research in un proof of concept.
Secondo il rapporto, OpenAI ha confermato di aver disattivato il servizio interno sfruttato come canale di comunicazione. Non è previsto alcun aggiornamento da installare, ma il caso mette in evidenza il ruolo delle autorizzazioni concesse alle app collegate.
La condizione iniziale era la presenza dell’istruzione nella chat. Check Point individua tre possibili veicoli: un testo copiato e incollato dall’utente, una conversazione condivisa aperta dalla vittima oppure un custom GPT con istruzioni del builder non visibili all’utente.
Dopo questo passaggio, sarebbe bastato un messaggio ordinario per avviare l’azione nascosta. In modalità Thinking, ChatGPT rispondeva alla richiesta visibile e, nello stesso turno, svolgeva una seconda sequenza: controllava se l’attaccante avesse lasciato un compito, usava gli strumenti disponibili nella sessione e gli rimandava il risultato.
Il proof of concept mostrava la lettura dei dati dell’account Gmail collegato, ma il rapporto indica che il canale avrebbe potuto trasferire anche cronologia della chat e file presenti nella conversazione. La quantità di informazioni accessibili dipendeva comunque da ciò che la sessione poteva già usare: dati, strumenti, app collegate e relativi permessi.
Perché la richiesta non compariva nella risposta
L’istruzione fornita da Check Point chiedeva di mantenere separati il compito per l’utente e quello nascosto. Di conseguenza, l’attività dell’attaccante non finiva nel testo mostrato in chat.
L’unico indizio segnalato dai ricercatori era una piccola etichetta “Talked to Gmail” sopra la risposta. L’avviso registrava una lettura già eseguita, senza offrire in quel momento la possibilità di autorizzarla o rifiutarla.
La documentazione di OpenAI citata nel rapporto prevede infatti che l’impostazione standard, Important actions, consenta a ChatGPT di leggere da un’app senza chiedere conferma. La richiesta viene mostrata per operazioni con effetti esterni concreti, che espongono informazioni sensibili o difficili da annullare.
Il canale interno tra conversazioni
Il problema non derivava da una connessione web diretta dei contenitori usati da ChatGPT per eseguire codice. OpenAI indica che l’ambiente Python per l’analisi dei dati non può effettuare richieste al web o ad API esterne; inoltre, in teoria, contenitori di conversazioni e account diversi non dovrebbero comunicare fra loro.
Check Point ha però individuato un servizio interno comune: un’istanza JFrog Artifactory usata per recuperare pacchetti Python o npm senza collegare i contenitori ai repository pubblici. Tale servizio permetteva di aggiungere proprietà nominate a un file memorizzato e di leggerle in seguito.
Le credenziali già presenti nelle variabili d’ambiente, secondo il rapporto, consentivano non soltanto la lettura ma anche la scrittura di queste proprietà. I ricercatori sono riusciti ad associare un valore a un file in una conversazione e a recuperarlo da un’altra, sotto un account differente.
Le proprietà potevano contenere testo semplice o dati codificati in Base64; contenuti più grandi potevano essere suddivisi e poi ricomposti. In pratica, i metadati del servizio dei pacchetti diventavano una sorta di appunto condiviso fra ambienti che avrebbero dovuto restare isolati.
Cosa possono fare utenti e amministratori
Chi preferisce approvare ogni interazione con un’app collegata può selezionare l’opzione Always ask. Nei workspace Business, Enterprise ed Edu gli amministratori stabiliscono quali azioni ogni app può compiere e quali utenti possono usarla.
Il rapporto precisa inoltre che le app sono attive per impostazione predefinita nei piani Business, mentre risultano disattivate di default per Enterprise ed Edu. Sono distinzioni importanti perché l’impatto della falla dipendeva esattamente dai privilegi già disponibili nella sessione colpita.
FAQ
Serve aggiornare ChatGPT?
No. Check Point afferma che OpenAI ha confermato la disattivazione del servizio interno coinvolto e che non esiste un aggiornamento da installare per gli utenti.
La falla poteva leggere qualunque dato?
No. L’accesso era limitato ai dati, agli strumenti, alle app collegate e ai permessi che la sessione ChatGPT aveva già a disposizione.
Come veniva introdotto il prompt malevolo?
Secondo Check Point, poteva arrivare tramite un testo incollato dall’utente, una chat condivisa oppure le istruzioni nascoste di un custom GPT.
Considerazioni finali
Il dettaglio più significativo non è soltanto il prompt nascosto, ma il fatto che una normale autorizzazione di lettura possa acquistare un peso molto diverso quando viene combinata con istruzioni malevole e un canale interno inatteso. La dimostrazione di Check Point rende concreto un rischio spesso percepito come astratto: la risposta apparentemente normale non garantisce che non siano state eseguite altre operazioni.
La chiusura del servizio indicata da OpenAI elimina il canale descritto nel report, ma la lezione resta precisa: nelle integrazioni con dati personali, la separazione fra ambienti e la chiarezza sui permessi contano quanto la qualità della risposta generata. In questo caso, il punto decisivo è che l’ampiezza dell’esposizione dipendeva dagli accessi già concessi alla sessione.