Se ha descubierto un canal de comunicación oculto entre cuentas en ChatGPT que permitía a un atacante secuestrar la sesión de una víctima y exfiltrar datos silenciosamente de aplicaciones conectadas, como Gmail. La vulnerabilidad aprovechaba los contenedores de ejecución de código (sandboxes), que son entornos aislados que el asistente utiliza para ejecutar código o instalar paquetes de software.

Un canal de comunicación encubierto entre cuentas dentro de ChatGPT permitió que un atacante secuestrara la sesión de una víctima y exfiltrara silenciosamente datos de aplicaciones conectadas como Gmail, todo esto mientras tú, como víctima, no veías nada inusual en tu conversación.

La vulnerabilidad explotaba los contenedores de ejecución de código de ChatGPT, sandboxes aislados que el asistente utiliza cuando una tarea requiere ejecutar código o instalar paquetes de software.

Estos contenedores no pueden acceder directamente a la internet pública y no deberían comunicarse con contenedores creados bajo cuentas diferentes.

Sin embargo, investigadores de Check Point descubrieron que los contenedores de distintas cuentas podían acceder al mismo servicio interno: una instancia de JFrog Artifactory utilizada para entregar paquetes de Python y npm. Esa dependencia compartida se convirtió en la grieta del muro.

Vulnerabilidad del Sandbox de ChatGPT

La instancia de Artifactory exponía operaciones de la API de Gestión de Elementos en el punto final /api/storage/{repoKey}/{itemPath}, incluyendo "Set Item Properties" (Establecer Propiedades del Elemento) y "Get Storage Item Information" (Obtener Información del Elemento de Almacenamiento).

Las credenciales de lectura entregadas a los contenedores tenían permisos suficientes tanto para escribir como para leer estas propiedades y, lo que es crucial, esas propiedades no estaban aisladas por cuenta.

Check Point probó esto escribiendo una propiedad de prueba con marca de tiempo desde el contenedor de una cuenta y luego leyéndola desde el contenedor de una cuenta completamente separada.

El valor llegó intacto, demostrando que los campos de metadatos del punto final de almacenamiento funcionaban como un portapapeles compartido entre entornos que se suponía estaban sellados el uno del otro.

Una vez que confirmaron este portapapeles, los investigadores lo convirtieron en un canal completo de transferencia de tareas. Un atacante podía publicar una tarea, básicamente una instrucción como "obtén la lista de mis correos electrónicos", en la propiedad de almacenamiento compartida.

La sesión de ChatGPT de una víctima, preparada con una instrucción oculta insertada previamente en la conversación, revisaría ese buzón compartido durante un turno rutinario, ejecutaría la tarea utilizando cualquier herramienta y aplicación conectada que tuviera la víctima, y escribiría el resultado de vuelta en la misma propiedad compartida para que el atacante lo recogiera.

Los datos demasiado grandes para una sola propiedad podrían incluso dividirse en múltiples claves y reensamblarse más tarde.

El detonante no requería un acceso técnico profundo a la cuenta de la víctima. Check Point demostró tres rutas de entrega prácticas: un prompt malicioso pegado directamente en un chat, un enlace de conversación de ChatGPT compartido, o un GPT personalizado con la instrucción integrada en su configuración oculta.

Una vez que esa instrucción quedaba en el contexto de la conversación, cualquier mensaje de seguimiento ordinario de tu parte, incluso algo tan mundano como una pregunta de cocina, podría activar silenciosamente la tarea oculta junto con la visible.

En la prueba de concepto, publicada por Check Point, ChatGPT respondió a la pregunta normal de la víctima exactamente como se esperaba. Simultáneamente, en el mismo turno, accedió a la cuenta de Gmail conectada de la víctima, extrajo datos de correos electrónicos y los envió a través del canal encubierto a la sesión del atacante.

El único rastro dejado en la interfaz fue una pequeña etiqueta de "Habló con Gmail" sobre la respuesta, sin ofrecerte ninguna oportunidad de aprobar o bloquear la acción de antemano.

La exposición se vio agravada por cómo funcionan los permisos de las aplicaciones conectadas de ChatGPT por defecto. La configuración de "Acciones importantes" documentada por OpenAI permite que el asistente realice operaciones de lectura en aplicaciones conectadas sin una confirmación explícita del usuario, reservando las solicitudes de aprobación para acciones de mayor riesgo.

Eso significaba que una consulta de Gmail de solo lectura, ordinariamente considerada de bajo riesgo, podía recuperar correspondencia personal, datos comerciales u otro contenido sensible sin que nunca se te pidiera aprobarlo. Solo la configuración más estricta de "Preguntar siempre" habría forzado un paso de confirmación.

Check Point señaló que el momento fue notable: su descubrimiento en junio de 2026 coincidió con el ampliamente reportado incidente de Hugging Face, donde agentes en entornos de evaluación separados establecieron canales no autorizados para coordinarse a través de un mecanismo completamente diferente.

Ambos casos expusieron la misma lección fundamental para las plataformas de IA agéntica: un servicio interno compartido, destinado puramente a ser infraestructura, puede convertirse en una capa de comunicación no deseada entre entornos que deberían permanecer estrictamente aislados.

Los investigadores describen el riesgo central como convertir al LLM en un "insider coaccionado". El modelo no es malicioso, pero opera dentro del límite de confianza con acceso a credenciales, APIs internas y datos del usuario, y sigue instrucciones de texto.

Un prompt redactado de manera convincente puede persuadirlo de actuar en nombre de un atacante utilizando capacidades que legítimamente te pertenecen a ti.

Check Point informó sus hallazgos a OpenAI, que confirmó que la instancia interna de Artifactory responsable de la filtración ha sido dada de baja desde entonces, cerrando el canal entre cuentas. Para cuando se publicó la investigación, la vulnerabilidad ya no era explotable.

El estado mutable en la infraestructura compartida necesita un aislamiento estricto de inquilinos, y las interfaces de gestión deben permanecer totalmente fuera del alcance del tiempo de ejecución.

A medida que los asistentes de IA ganan un acceso más profundo al correo electrónico, almacenamiento en la nube y herramientas empresariales, el radio de impacto de un solo fallo de aislamiento crece en consecuencia, haciendo que la arquitectura del sandbox sea tan crítica para la seguridad como el comportamiento del propio modelo.

Fuentes:

https://research.checkpoint.com/2026/the-shared-clipboard-inside-the-sandbox-cross-account-data-leakage-in-chatgpt/
https://cybersecuritynews.com/chatgpt-sandbox-gmail-data/