Los usuarios suelen confiar en los asistentes de IA con información altamente sensible, como historiales médicos, documentos financieros y código empresarial propietario. Check Point Research reveló recientemente una vulnerabilidad crítica en la arquitectura de ChatGPT que permitía a los atacantes extraer este mismo tipo de datos de usuario de manera silenciosa. 

Los usuarios confían habitualmente en los asistentes de IA con información altamente sensible, como historiales médicos, documentos financieros y código empresarial propietario.

Check Point Research reveló recientemente una vulnerabilidad crítica en la arquitectura de ChatGPT que permitía a los atacantes extraer este tipo de datos de usuario de forma silenciosa.

Al explotar un canal encubierto de salida en el entorno aislado de ejecución de código de ChatGPT, los atacantes podían extraer el historial de chats, archivos subidos y salidas generadas por IA sin activar alertas para el usuario ni solicitudes de consentimiento.

Eludiendo las protecciones de salida

OpenAI diseñó el entorno de Análisis de Datos basado en Python como un sandbox seguro, bloqueando intencionalmente las solicitudes HTTP directas de salida para evitar fugas de datos.

Las llamadas legítimas a APIs externas, conocidas como GPT Actions, requieren el consentimiento explícito del usuario a través de diálogos de aprobación visibles.

Sin embargo, los investigadores descubrieron un método para eludir esta protección basado completamente en tunelización DNS. Aunque el acceso convencional a Internet estaba bloqueado, el entorno del contenedor aún permitía la resolución DNS estándar.

Los atacantes aprovecharon este descuido codificando datos sensibles de los usuarios en etiquetas de subdominios DNS.

En lugar de usar DNS únicamente para la resolución de nombres de IP, el exploit divide los datos —como un diagnóstico médico analizado o un resumen financiero— en fragmentos seguros.

Cuando el entorno realiza una búsqueda recursiva, la cadena de resolución transporta los datos codificados directamente a un servidor externo controlado por el atacante.

Como el sistema no reconocía el tráfico DNS como una transferencia de datos externa, eludía toda mediación del usuario.

Armas personalizadas de GPTs

El ataque requiere una interacción mínima del usuario y se inicia con un único prompt malicioso.

Los actores de amenazas pueden distribuir estas cargas útiles en foros públicos o redes sociales, disfrazándolas como trucos de productividad o jailbreaks para desbloquear capacidades premium de ChatGPT.

Una vez que un usuario pega el prompt en su chat, la conversación actual se convierte en un canal encubierto de recolección de datos. Alternativamente, los atacantes pueden incrustar la lógica maliciosa directamente en Custom GPTs.

Si un usuario interactúa con un GPT con puerta trasera, como un falso “médico personal” que analiza PDFs médicos subidos, el sistema extrae en secreto identificadores de alto valor y evaluaciones.

Dado que los desarrolladores de GPT no tienen acceso oficial a los registros de chats individuales, este canal lateral proporciona un mecanismo sigiloso para recolectar flujos de trabajo privados.

Cuando se le pregunta directamente, la IA incluso negaba con seguridad enviar datos externamente, manteniendo una ilusión completa de privacidad.

La vulnerabilidad iba mucho más allá del robo pasivo de datos, ofreciendo un canal de comunicación bidireccional entre el entorno de ejecución y el atacante.

Como los actores de amenazas podían codificar fragmentos de comandos en las respuestas DNS, podían enviar instrucciones brutas de vuelta al sandbox aislado.

Un proceso en ejecución dentro del contenedor podía reensamblar estas cargas útiles y ejecutarlas, otorgando efectivamente al atacante un shell remoto dentro del entorno Linux.

Según la investigación de Checkpoint, esta ejecución eludía los mecanismos de seguridad estándar, manteniendo los comandos y resultados invisibles en la interfaz de chat, dejando a los usuarios completamente ajenos al compromiso.

OpenAI parcheó con éxito el problema subyacente el 20 de febrero de 2026, cerrando el túnel DNS.

Sin embargo, este incidente destaca perfectamente la creciente superficie de ataque de los asistentes de IA modernos a medida que evolucionan hacia entornos de ejecución complejos y multicapa.