Vulnerabilidades críticas en ChatGPT permiten a los atacantes exfiltrar datos sensibles de servicios conectados como Gmail, Outlook y GitHub sin interacción del usuario. Apodadas ShadowLeak y ZombieAgent, estas fallas explotan las funciones de Connectors y Memory de la IA para ataques de cero clics, persistencia e incluso propagación

Vulnerabilidades críticas en ChatGPT permiten a atacantes extraer datos sensibles de servicios conectados como Gmail, Outlook y GitHub sin interacción del usuario.

Apodadas ShadowLeak y ZombieAgent, estas fallas explotan las funciones de Connectors y Memory de la IA para ataques de zero-click, persistencia e incluso propagación.

Los Connectors de OpenAI permiten que ChatGPT se integre con sistemas externos como Gmail, Jira, GitHub, Teams y Google Drive en pocos clics.

La función Memory, activada por defecto, almacena conversaciones y datos del usuario para respuestas personalizadas, permitiendo que la IA lea, edite o elimine entradas.

Aunque mejoran la utilidad, estas capacidades otorgan acceso amplio a datos personales y corporativos, amplificando los riesgos por salvaguardas insuficientes.

Ataques de Zero-Click y One-Click en ChatGPT

Los atacantes envían correos electrónicos maliciosos o comparten archivos con instrucciones ocultas, invisibles para los usuarios, mediante texto blanco, fuentes diminutas o pies de página.

En la variante zero-click del lado del servidor, ChatGPT escanea la bandeja de entrada durante tareas rutinarias como resumir correos, ejecuta la carga maliciosa y filtra datos a través de los servidores de OpenAI antes de que los usuarios lo noten.

Una versión one-click se activa cuando las víctimas suben archivos contaminados, permitiendo ataques encadenados en repositorios o unidades conectadas.

OpenAI bloqueó las modificaciones dinámicas de URLs, pero los investigadores lo eludieron con URLs preconstruidas para cada carácter (a-z, 0-9, $ para espacios).

ChatGPT normaliza cadenas sensibles como "Zvika Doe" a "zvikadoe", luego abre secuencialmente enlaces estáticos como compliance.hr-service.net/get-public-joke/z, exfiltrando datos sin construcción. Este método del lado del servidor evade defensas del cliente, navegadores y visibilidad en la interfaz.

Para la persistencia, los atacantes inyectan reglas que modifican la Memory a través de archivos: con cada mensaje, leen un correo específico del atacante y filtran datos primero.

A pesar de las restricciones de OpenAI para mezclar Connectors y Memory, el acceso inverso funciona, permitiendo exfiltración ilimitada incluso en nuevos chats. La propagación escanea bandejas de entrada en busca de direcciones, las exfiltra y los servidores del atacante envían automáticamente cargas maliciosas, apuntando a organizaciones.

Radware reportó los problemas el 26 de septiembre de 2025 a través de BugCrowd, proporcionando detalles y mejoras. OpenAI corrigió ShadowLeak el 3 de septiembre y el conjunto completo el 16 de diciembre de 2025, tras reproducir los fallos.

Los expertos recomiendan monitorear el comportamiento de los agentes y sanitizar las entradas, ya que persisten puntos ciegos en la IA agentiva.