ChatGPT mal vážnu bezpečnostnú slabinu. Útočník mohol cez model získať údaje z Gmailu obete
Bezpečnostní výskumníci odhalili chybu v ChatGPT, cez ktorú sa dali prenášať údaje medzi účtami. V testoch dokázal útočník zneužiť aj prístup ChatGPT k Gmailu obete.
ChatGPT už dávno neslúži iba na písanie textov alebo odpovedanie na otázky. Dokáže pracovať so súbormi, spúšťať kód a cez pripojené aplikácie pristupovať k údajom používateľa. Práve posledná menovaná schopnosť však môže výrazne zvýšiť následky bezpečnostnej chyby.
Výskumníci z Check Point Research v septembri 2026 opísali zaujímavú zraniteľnosť, ktorá umožnila vytvoriť skrytý komunikačný kanál medzi prostrediami ChatGPT patriacimi k odlišným účtom. V ich testovacom scenári dokázali cez tento kanál preniesť údaje z účtu obete k útočníkovi. Nešlo pritom o klasické prelomenie hesla ani o priamy útok na Gmail. Problém vznikol v samotnom prostredí, v ktorom ChatGPT spúšťa kód.
Izolované kontajnery predsa len našli spoločnú cestu
Pri úlohách, ktoré vyžadujú spustenie kódu, ChatGPT používa izolované kontajnery. Ich úlohou je oddeliť výpočtové prostredie od zvyšku systému a zároveň zabrániť tomu, aby medzi sebou komunikovali kontajnery patriace rôznym používateľom. Takéto prostredie zároveň nemôže voľne pristupovať na internet. ChatGPT však potrebuje možnosť stiahnuť niektoré softvérové balíky a knižnice, ktoré využije pri práci. Na tento účel kontajnery získavali prístup k internému serveru JFrog Artifactory. Ten funguje ako sprostredkovateľ, cez ktorého môže systém získavať potrebné softvérové balíky bez priameho prístupu na verejný internet.
Hoci kontajnery medzi sebou priamo komunikovať nemohli, oba mohli pristupovať k rovnakému internému úložisku. A toto úložisko umožňovalo upravovať vlastnosti uložených súborov. Výskumníci preto vykonali jednoduchý test. Z jedného účtu zapísali do vlastnosti súboru vlastnú hodnotu. Následne z iného účtu požiadali o načítanie vlastností toho istého súboru. Výsledok obsahoval presne tú hodnotu, ktorú zapísal prvý účet.
Vznikol tak v podstate spoločný „clipboard“ medzi dvoma izolovanými prostrediami. Jeden kontajner mohol do spoločného priestoru zapísať správu a druhý ju následne prečítať. Výskumníci navyše zistili, že týmto spôsobom bolo možné prenášať aj väčšie množstvo dát. Informácie sa dali rozdeliť na menšie časti a následne ich znovu poskladať.
Neprehliadni
Z obyčajného chatu sa mohol stať skrytý príkazový kanál
Samotná možnosť prenášať text medzi kontajnermi by ešte neznamenala krádež používateľských údajov. Výskumníci však ukázali, že tento mechanizmus sa dal spojiť s pokynmi pre ChatGPT. Útočník mohol do konverzácie dostať špeciálnu inštrukciu napríklad prostredníctvom zdieľaného chatu alebo vlastného GPT. Ak sa takýto pokyn dostal do kontextu konverzácie, ChatGPT mohol popri bežnej požiadavke používateľa spracovať aj skrytú úlohu.
ChatGPT mohol na obrazovke odpovedať na otázku používateľa úplne normálne, zatiaľ čo v pozadí spracoval inú požiadavku. Výsledok následne odoslal späť útočníkovi cez spomínaný komunikačný kanál. Check Point Research tento mechanizmus opísal ako situáciu, v ktorej ChatGPT spracúva „dva nezávislé prúdy požiadaviek počas jedného kola“. V praxi to znamenalo, že používateľ nemusel vedieť, že jeho relácia vykonala ešte inú úlohu.
Výskumníci vytvorili scenár, v ktorom obeť otvorila zdieľanú konverzáciu a následne odoslala úplne obyčajnú správu. ChatGPT odpovedal na požiadavku, no zároveň skontroloval skrytý kanál, či na ňom útočník nezanechal ďalšiu úlohu. Ak tam taká úloha čakala, model ju mohol vykonať s využitím nástrojov dostupných v relácii obete. Praktický test sa týkal Gmailu. ChatGPT mal cez pripojený účet obete vyhľadať požadované e-maily a získané údaje preniesť späť útočníkovi. Na obrazovke obete sa pritom zobrazila normálna odpoveď na jej požiadavku. Výskumníci uviedli, že jediným viditeľným náznakom aktivity Gmailu mohol byť štítok „Talked to Gmail“, ktorý upozornil na komunikáciu s pripojenou aplikáciou.
Samotný používateľ však nedostal samostatnú otázku, či chce povoliť konkrétne čítanie e-mailov. A práve tu sa ukázal ďalší problém. ChatGPT pri niektorých pripojených aplikáciách rozlišuje medzi menej rizikovými a dôležitými operáciami. Čítanie údajov môže patriť medzi operácie, ktoré systém povolí bez dodatočného potvrdenia.
„Používatelia si môžu zvoliť prísnejšie nastavenie ‚Vždy sa opýtať‘,“ uvádzajú výskumníci vo svojej správe.
To však nemení podstatu samotnej chyby. Ak má ChatGPT prístup k údajom používateľa, prípadný útočník môže skúsiť model presvedčiť, aby ich v rámci povolených oprávnení spracoval.
Problém sa netýkal iba Gmailu
Rozsah možného útoku závisel od toho, k čomu mal konkrétny účet ChatGPT prístup. Výskumníci upozornili, že rovnaký princíp mohol zasiahnuť aj históriu konverzácií alebo súbory dostupné v danom chate a prostredí na spúšťanie kódu. Ešte väčší význam získava problém pri používateľoch, ktorí majú k ChatGPT pripojené ďalšie služby. Systém môže podľa udelených oprávnení pracovať napríklad s Gmailom, Google Drive, GitHubom či Microsoft Teams. Útočník by teda nemusel priamo preniknúť do týchto služieb. Stačilo by, ak by prinútil ChatGPT využiť oprávnenia, ktoré už používateľ modelu poskytol.
Výskumníci zároveň uviedli viacero spôsobov, ako mohol útočník dostať škodlivú inštrukciu k obeti. Jednou možnosťou bol podvodný prompt, ďalšou zdieľaná konverzácia a problém mohol vzniknúť aj pri vlastnom GPT so skrytou inštrukciou.
Pri zdieľanom chate tak používateľ nemusel vedome skopírovať žiadny škodlivý príkaz. Stačilo pokračovať v konverzácii, ktorá už obsahovala pripravenú inštrukciu.
OpenAI problém odstránilo
Check Point Research uviedol, že objav nahlásil spoločnosti OpenAI. Do času dokončenia výskumu už popísaný komunikačný kanál nefungoval. OpenAI zároveň potvrdilo, že konkrétna interná inštancia Artifactory, ktorú výskumníci využili, bola vyradená z prevádzky. Výskum tak neukázal klasický útok, pri ktorom by hacker priamo prenikol do cudzieho účtu.
Výskumníci tým upozornili na širšiu otázku bezpečnosti AI agentov. Model totiž nemusí byť sám o sebe škodlivý. Ak však dostane škodlivú inštrukciu a zároveň disponuje oprávneniami na prácu s používateľskými údajmi, môže vykonať akcie, ktoré útočník sám vykonať nedokáže.
Prípad zároveň ukazuje, že pri podobných systémoch nestačí izolovať iba jednotlivé kontajnery. Pozornosť si vyžadujú aj interné služby, zdieľané úložiská, oprávnenia, prihlasovacie údaje a všetky ďalšie komponenty, ktoré sa nachádzajú medzi používateľom a AI modelom.
