Check Point: plantet instruks fikk ChatGPT til å sende Gmail-data til en annen konto

Check Point Research beskriver i en fersk rapport hvordan en enkelt instruks plantet i en ChatGPT-samtale får modellen til å jobbe for en angriper samtidig som den svarer brukeren som vanlig. I selskapets proof of concept leste den skjulte jobben data fra brukerens tilkoblede Gmail-konto og sendte dem videre til en annen ChatGPT-konto. Samme kanal kunne også kopiere ut samtalehistorikken og filene i samtalen.

Instruksen må ligge i samtalen først. Check Point navnga tre veier inn: en prompt brukeren limer inn selv, en delt ChatGPT-samtale brukeren åpner, eller en egendefinert GPT som holder instruksen skjult i byggerinstruksene sine. Etter det holdt det med én helt vanlig melding. I Thinking-modus kjørte modellen to strømmer arbeid i samme tur, og instruksen ba den holde dem adskilt, slik at den skjulte oppgaven aldri dukket opp i det synlige svaret.

Det eneste sporet var en liten «Talked to Gmail»-merkelapp over svaret. Den registrerte en lesing som allerede hadde skjedd, og ga brukeren ingen sjanse til å godta eller nekte. Ingenting spurte på forhånd, fordi tilkoblede apper er satt opp slik som standard: OpenAIs dokumentasjon oppgir «Important actions» som standardtillatelse, og den lar ChatGPT lese fra en app uten å spørre.

Selve kanalen gikk et uventet sted. Containerne der ChatGPT kjører kode har ingen direkte vei til hverandre, heller ikke på tvers av kontoer, men alle kunne nå én intern JFrog Artifactory-instans som henter Python- og npm-pakker på deres vegne. Den instansen lar en container feste navngitte verdier til en lagret fil og lese dem tilbake, og lesetilgangen containeren allerede hadde holdt også til å skrive dem. Nøklene lå i miljøvariabler. Verdiene ble ikke holdt adskilt per konto: Check Point festet egenskapen chatgpt_test_ts i én konto og leste den ut igjen fra en samtale under en annen.

«En delt intern tjeneste ble et utilsiktet kommunikasjonslag» — Check Point Research, om denne og en tidligere kanal ut av samme del av ChatGPT

OpenAI har bekreftet at den interne tjenesten bak kanalen er tatt av nett, og det finnes ingen oppdatering brukere må installere. Check Point daterer arbeidet til juni 2026 og sier ikke når kanalen sluttet å virke, så rapporten viser ikke hvor lenge den var åpen.

Hva bør du gjøre?

1. Bytt tilkoblede apper fra «Important actions» til «Always ask», så du får spørsmål før hver lesing i stedet for en kvittering etterpå.
2. Behandle delte ChatGPT-lenker og egendefinerte GPTer som ukjent kode. Byggerinstruksene vises ikke for deg som bruker.
3. Sjekk arbeidsområdet ditt: apper er på som standard på Business-planer og av som standard i Enterprise og Edu, og admin styrer hvilke handlinger hver app får utføre.