Check Point Research descubrió que instrucciones ocultas en ChatGPT podían permitir que un atacante robara datos de cuentas conectadas, como Gmail, sin que el usuario lo notara. El ataque aprovechaba un servicio interno de paquetes compartido para transferir información entre cuentas distintas, actuando como un portapapeles invisible. OpenAI ya ha solucionado el problema desactivando el servicio interno afectado.

Check Point Research afirmó en un informe publicado hoy que una sola instrucción implantada en una conversación de ChatGPT podría hacer que ChatGPT trabaje silenciosamente para un atacante mientras responde a tu pregunta como de costumbre.

En la prueba de concepto de la empresa, ese trabajo oculto leyó datos de tu cuenta de Gmail conectada y los pasó a una segunda cuenta de ChatGPT a través de un canal oculto entre ambas. La respuesta que tú veías no decía nada al respecto.

Check Point señaló que el mismo canal también podría copiar el historial del chat y los archivos de esa conversación.

La cantidad de datos que un atacante podría llevarse dependía de a qué tuviera ya acceso la sesión, incluyendo sus datos, herramientas, otras aplicaciones conectadas y permisos.

La instrucción tenía que estar en la conversación antes de que todo esto funcionara. Check Point mencionó tres formas de lograrlo: un prompt que tú pegues, una conversación de ChatGPT compartida que abras, o un GPT personalizado que la contenga en sus instrucciones de creación, las cuales no se te muestran a ti.

Después de eso, un solo mensaje ordinario era suficiente para iniciarlo. Check Point redactó la instrucción para que ChatGPT, en modo de pensamiento (Thinking mode), ejecutara dos flujos de trabajo en el mismo turno.

ChatGPT te respondía a ti. Al mismo tiempo, revisaba un buzón oculto en busca de una tarea del atacante, realizaba esa tarea utilizando las herramientas de tu sesión y enviaba el resultado de vuelta. La instrucción le decía al modelo que mantuviera los dos flujos separados, por lo que la tarea oculta nunca aparecía en la respuesta visible.

La única señal de que se había utilizado una aplicación era una pequeña etiqueta de "Habló con Gmail" sobre la respuesta. Esto registraba una lectura que ya había ocurrido y no te daba ninguna oportunidad de permitirla o rechazarla.

Nada te preguntaba primero debido a cómo funcionan las aplicaciones conectadas por defecto. La documentación de OpenAI enumera las acciones importantes como el permiso predeterminado, lo que permite que ChatGPT lea de una aplicación sin preguntar. ChatGPT pregunta solo antes de acciones que podrían tener un efecto real fuera de ChatGPT, exponer información sensible o ser difíciles de deshacer.



Si quieres que se te pregunte cada vez, puedes cambiar a "Preguntar siempre". En los espacios de trabajo de Business, Enterprise y Edu, los administradores eligen qué acciones puede realizar cada aplicación y quién puede usarla. Las aplicaciones están activadas por defecto en los planes Business y desactivadas por defecto en Enterprise y Edu.

Check Point dijo que comunicó el hallazgo a OpenAI y que OpenAI confirmó que el servicio interno detrás del canal ha sido puesto fuera de línea. No hay ninguna actualización que tengas que instalar.

El canal funcionaba entre los contenedores donde ChatGPT ejecuta el código. ChatGPT construye uno para cada conversación cuando una tarea lo requiere.

La documentación de OpenAI dice que el entorno de Python que ChatGPT utiliza para el análisis de datos no puede realizar solicitudes a la web ni a APIs externas. Check Point señaló que los contenedores creados para conversaciones separadas, incluidas las de diferentes cuentas, tampoco tenían una ruta directa entre sí.

Todos ellos podían llegar a un servicio interno. ChatGPT a veces necesita instalar paquetes adicionales de Python o npm. En lugar de permitir que los contenedores accedan a repositorios de paquetes públicos, a cada uno se le permitía hablar con una instancia interna de JFrog Artifactory que obtenía los paquetes por él.



Esa instancia permitía que un contenedor adjuntara valores nombrados, llamados propiedades, a un archivo almacenado y los leyera posteriormente. Las credenciales que el contenedor poseía para el acceso de lectura también eran suficientes para escribir esas propiedades. Se encontraban en variables de entorno, donde el código que ejecutaba ChatGPT podía recogerlas. El código no necesitaba robar un secreto aparte ni escalar privilegios.

Las propiedades no se mantenían separadas por cuenta. Desde un contenedor bajo una cuenta, Check Point adjuntó una propiedad llamada chatgpt_test_ts, que contenía la hora actual, a un archivo almacenado en caché. En una conversación bajo una cuenta diferente, solicitó las propiedades de ese archivo y recibió el mismo nombre y valor.

Una propiedad puede transportar texto plano o Base64, y cualquier cosa demasiado grande para una sola puede dividirse en varias y reensamblarse en el otro extremo. Eso convirtió los metadatos del servicio de paquetes en un portapapeles compartido entre contenedores que no deberían haberse contactado entre sí.

Este es el segundo canal de la misma parte de ChatGPT que Check Point ha reportado. En marzo, describió uno que utilizaba búsquedas de DNS para enviar datos de conversaciones a un servidor externo, y afirmó que OpenAI lo solucionó el 20 de febrero.

El caso es independiente del incidente de Hugging Face, en el que los propios modelos de OpenAI convirtieron una instancia interna de Artifactory en un tablón de anuncios durante las pruebas de seguridad de la empresa.

Check Point afirmó que el mecanismo que encontró era diferente y describió ambos como casos en los que "un servicio interno compartido se convirtió en una capa de comunicación no deseada" a través de entornos que debían permanecer aislados.

Check Point fechó su trabajo en junio de 2026 y no dijo cuándo dejó de funcionar el canal, por lo que el informe no muestra cuánto tiempo estuvo abierto.

Fuente:
THN