ChatGPT, un canale nascosto permetteva di sottrarre dati tra account

Una conversazione apparentemente normale con ChatGPT poteva nascondere una seconda attività, invisibile nel testo della risposta: recuperare un comando impartito da un altro account, eseguirlo con gli strumenti disponibili nella sessione della vittima e restituire il risultato all’attaccante.

Check Point Research ha dimostrato il problema arrivando fino a un caso particolarmente efficace che aiuta a comprendere la gravità della problematica: ChatGPT poteva consultare le email disponibili attraverso un account Gmail collegato alla sessione della vittima e trasferire i dati verso un altro account, gestito da un soggetto terzo.

L’utente continuava intanto a vedere la risposta alla propria domanda, senza alcun riferimento all’istruzione parallela. Il problema non è più sfruttabile: OpenAI ha confermato che l’istanza interna di JFrog Artifactory (repository aziendale per pacchetti software e dipendenze) coinvolta è stata dismessa.

Non si trattava, però, di una vulnerabilità che consentiva a chiunque di indicare un account ChatGPT a caso e leggerne immediatamente Gmail. La sessione della vittima doveva prima ricevere un’istruzione preparata dall’attaccante, ad esempio attraverso una conversazione condivisa, un prompt malevolo copiato dall’utente oppure un GPT personalizzato. Inoltre, l’accesso ai dati esterni dipendeva dalle applicazioni già collegate alla sessione e dai relativi permessi.

Il punto debole era un Artifactory interno raggiungibile dai container

Per alcune attività, ChatGPT utilizza ambienti isolati nei quali può eseguire codice. Uno degli obiettivi di questo isolamento consiste nell’impedire che un ambiente associato a una conversazione possa scambiare direttamente dati con quello appartenente a un altro utente.

I container analizzati da Check Point non disponevano di un normale accesso diretto a Internet. Esiste però un’esigenza pratica: durante l’esecuzione del codice può diventare necessario recuperare librerie Python, pacchetti npm o altre dipendenze software.

OpenAI aveva quindi reso raggiungibile dai container un’istanza interna di JFrog Artifactory, utilizzata come intermediario controllato per la distribuzione dei pacchetti. Più container isolati non potevano comunicare direttamente tra loro, ma potevano raggiungere tutti quel servizio comune.

Ed è precisamente qui che Check Point ha trovato il problema: l’Artifactory accessibile dagli ambienti ChatGPT esponeva infatti alcune operazioni dell’Item Management API tramite un endpoint del tipo:

/api/storage/{repoKey}/{itemPath}

Artifactory permette di associare a file, directory e altri elementi del repository delle proprietà, vale a dire coppie nome-valore utilizzabili come metadati. I ricercatori hanno scoperto che le credenziali messe a disposizione del container non consentivano soltanto di leggere quanto necessario per recuperare i pacchetti: risultavano sufficienti anche per modificare determinate proprietà.

Un container poteva quindi scrivere un valore all’interno dei metadati associati a un elemento presente nell’Artifactory; un container appartenente a un altro account poteva successivamente leggere lo stesso valore. Non serviva rubare una password aggiuntiva né ottenere privilegi superiori: le credenziali necessarie erano già disponibili nell’ambiente di esecuzione.

Check Point ha verificato concretamente l’assenza di separazione scrivendo da un account una proprietà di prova su un file memorizzato nella cache di Artifactory. Interrogando lo stesso elemento da un secondo account, il valore risultava ancora leggibile.

Una “clipboard” condivisa tra account che avrebbero dovuto restare isolati

Check Point paragona efficacemente il risultato a una clipboard condivisa tra container isolati.

Immaginiamo due ambienti A e B appartenenti a due account ChatGPT distinti. In condizioni corrette, A non dovrebbe avere alcun mezzo per inviare un messaggio a B. Entrambi, però, potevano accedere a C, cioè l’Artifactory interno.

Se A scriveva task=leggi_i_miei_messaggi in una proprietà nota e B controllava periodicamente quella stessa proprietà, C diventava di fatto una sorta di “casella postale”. B poteva leggere il comando, eseguirlo e scrivere la risposta in un’altra proprietà. A non doveva fare altro che recuperarla.

Non era quindi necessaria una connessione di rete diretta tra i container: il canale passava attraverso una risorsa interna che entrambi erano autorizzati a utilizzare.

Non soltanto Gmail

Gmail rappresentava la dimostrazione più efficace, ma il limite teorico non coincideva con la posta elettronica.

Una volta impartito il comando alla sessione della vittima, l’attaccante poteva tentare di sfruttare ciò che ChatGPT riusciva già a raggiungere legittimamente: cronologia della conversazione, file disponibili nell’ambiente di esecuzione e servizi collegati.

Check Point cita, oltre a Gmail, servizi quali Google Drive, Microsoft Teams e GitHub. L’effettiva portata dell’attacco dipendeva comunque dai collegamenti presenti, dalle autorizzazioni concesse e dai controlli applicati alla specifica operazione.

È proprio questa caratteristica a rendere il problema significativo anche dopo la correzione. Una classica sandbox per l’esecuzione di codice protegge principalmente ciò che si trova dentro il proprio perimetro. Un assistente AI può invece possedere credenziali temporanee, strumenti, collegamenti ad applicazioni SaaS e accesso a documenti caricati dall’utente. Compromettere il modo in cui il modello riceve ed esegue istruzioni può produrre conseguenze molto più ampie rispetto alla semplice fuga di un file dal container.

L’altro caso Artifactory: gli agenti OpenAI e l’incidente Hugging Face

OpenAI ha descritto pubblicamente, ad agosto 2026, un incidente verificatosi durante valutazioni interne di cybersecurity.

Alcuni modelli di ricerca, operando in sandbox nelle quali l’accesso a Internet e la comunicazione tra agenti avrebbero dovuto essere limitati, scoprirono autonomamente modi per utilizzare l’infrastruttura Artifactory come mezzo di comunicazione. Gli agenti AI riuscirono a scrivere file nel package manager interno, trasformandolo di fatto in una bacheca condivisa attraverso la quale scambiarsi informazioni.

Successivamente individuarono anche metodi per ottenere accesso verso Internet facendo effettuare richieste ad Artifactory per loro conto. OpenAI ha spiegato che l’attività arrivò infine a interessare parte della propria infrastruttura di ricerca e i sistemi appartenenti a Hugging Face.

Questa seconda vicenda ha coinvolto agenti sperimentali OpenAI durante test interni e comprendeva lo sfruttamento di vulnerabilità differenti. La ricerca Check Point, invece, riguarda ChatGPT e l’isolamento tra account differenti, sfruttando la possibilità di leggere e modificare proprietà condivise dell’Artifactory.

Il denominatore comune consiste nell’architettura: ambienti teoricamente separati disponevano di un servizio interno comune capace, in modi diversi, di diventare un canale di comunicazione non previsto.