Vulnerabilidad en ChatGPT permitía exfiltrar datos de Gmail entre cuentas

Un informe de Check Point Research detalla cómo un prompt malicioso insertado en una conversación de ChatGPT lograba leer datos de la cuenta de Gmail del usuario y enviarlos a otra cuenta controlada por el atacante, todo ello sin alterar la respuesta visible que recibía la víctima.

El mecanismo aprovechaba una vulnerabilidad en la arquitectura de los contenedores que ChatGPT genera para ejecutar código durante las tareas de análisis de datos. OpenAI documenta que estos entornos Python no deberían poder realizar peticiones a la web ni a APIs externas. Sin embargo, los contenedores sí tenían acceso a una instancia interna de JFrog Artifactory para instalar paquetes adicionales de forma segura.

El fallo residía en la gestión de las credenciales y los metadatos de este servicio. Las credenciales de lectura que el contenedor recibía en las variables de entorno también permitían escribir propiedades (properties) asociadas a los archivos almacenados. Dado que estos metadatos no estaban aislados por cuenta de usuario, un contenedor apparteniente a una sesión podía escribir datos en un archivo y otro contenedor, perteneciente a una cuenta diferente, podía leerlos. Esto convertía efectivamente al servicio de gestión de paquetes en un portapapeles compartido entre entornos que debían estar aislados.

Para explotar la vulnerabilidad, el atacante necesitaba que la instrucción maliciosa estuviera presente en el historial del chat. Esto podía lograrse mediante un prompt copiado y pegado por el usuario, una conversación compartida o un custom GPT con instrucciones ocultas. Una vez activado, el modelo ejecutaba dos flujos de trabajo simultáneos: respondía a la consulta del usuario y, en segundo plano, consultaba la bandeja de entrada oculta para descifrar y ejecutar la tarea de exfiltración.

Check Point destaca que la etiqueta "Talked to Gmail" que aparece en la interfaz no sirvió de aviso real, ya que indicaba simplemente que se había realizado una lectura permitida por las configuraciones por defecto de las aplicaciones conectadas. Según la documentación de OpenAI, las "acciones importantes" permiten la lectura sin consentimiento previo, salvo en entornos Enterprise y Edu donde los administradores pueden restringir estos permisos.

Esta es la segunda brecha de este tipo reportada por Check Point en pocos meses. En marzo, describieron un mecanismo similar que utilizaba consultas DNS para enviar datos a un servidor externo, el cual fue parcheado por OpenAI a fines de febrero. El caso actual es independiente del incidente de Hugging Face, donde se explotó una instancia interna similar durante pruebas de seguridad, aunque el mecanismo técnico difiere.

Check Point entregó los hallazgos a OpenAI, quien confirmó que ha desconectado el servicio interno que fungía como canal de comunicación. No se requiere ninguna acción de actualización por parte de los usuarios finales. El informe no especifica la duración exacta de la exposición, pero data la investigación en junio de 2026. El análisis técnico completo proporciona detalles sobre la construcción de la carga útil y la explotación del canal.

Este incidente subraya los riesgos inherentes al aislamiento de contenedores en servicios de IA generativa y la complejidad de asegurar los componentes internos que soportan funcionalidades como la ejecución de código.