Check Point Research publicó hoy un informe detallando cómo una única instrucción plantada en una conversación de ChatGPT podía hacer que la herramienta trabajara silenciosamente para un atacante mientras respondía al usuario con normalidad. En su prueba de concepto, el trabajo oculto consistía en leer datos de la cuenta de Gmail vinculada del usuario y transmitirlos a una segunda cuenta de ChatGPT a través de un canal encubierto entre ambas. La respuesta visible al usuario no mostraba ninguna señal de esta actividad.
Según la investigación, el mismo canal también podía copiar el historial de chat y los archivos de esa conversación. El alcance de lo que un atacante podía sustraer dependía de los accesos de la sesión, incluyendo datos, herramientas, aplicaciones conectadas y permisos disponibles. Para que el ataque funcionara, la instrucción maliciosa debía estar presente en la conversación antes de la ejecución.
Check Point identificó tres vías de inyección: un mensaje pegado por el usuario, una conversación compartida que el usuario abriera, o un GPT personalizado que contuviera la instrucción en su configuración oculta (no visible para el usuario). Tras la inyección, bastaba un mensaje ordinario para activar el proceso. La instrucción estaba diseñada para que ChatGPT, en modo de razonamiento, ejecutara dos flujos de trabajo simultáneos en la misma respuesta.
De esta manera, ChatGPT respondía al usuario mientras, en paralelo, comprobaba un buzón oculto para recibir órdenes del atacante, las ejecutaba utilizando las herramientas disponibles en la sesión y enviaba los resultados. La instrucción indicaba al modelo que mantuviera ambos flujos separados, por lo que la tarea encubierta nunca aparecía en la respuesta visible.
El único indicio de actividad era una pequeña etiqueta 'Talked to Gmail' sobre la respuesta, que registraba una lectura ya realizada sin dar al usuario la oportunidad de aprobarla o denegarla. Esto se debía a la configuración predeterminada de las aplicaciones conectadas en OpenAI, que otorga permiso para leer sin solicitar confirmación. ChatGPT solo pregunta antes de realizar acciones que puedan tener efectos reales fuera del sistema, exponer información sensible o ser difíciles de deshacer.
Los usuarios pueden cambiar esta configuración a 'Always ask' para recibir solicitudes en cada acción. En los espacios de trabajo Business, Enterprise y Edu, los administradores controlan qué acciones realiza cada app y quién puede usarla. Las apps están activadas por defecto en Business y desactivadas en Enterprise y Edu.
Check Point informó de su descubrimiento a OpenAI, que confirmó haber desactivado el servicio interno que permitía el canal. No hay ninguna actualización para los usuarios. El canal operaba entre los contenedores donde ChatGPT ejecuta código, creados para cada conversación cuando se requiere una tarea de análisis.
Según la documentación de OpenAI, el entorno Python para análisis de datos no puede realizar solicitudes a internet ni a APIs externas, y los contenedores de distintas conversaciones, incluso de cuentas diferentes, no tienen comunicación directa. Sin embargo, todos podían acceder a un servicio interno de JFrog Artifactory, utilizado para instalar paquetes adicionales, que permitía adjuntar metadatos (propiedades) a los archivos almacenados y leerlos posteriormente.
Este servicio interno se convirtió en un canal no autorizado: desde un contenedor bajo una cuenta, Check Point adjuntó una propiedad con la hora actual a un archivo en caché, y desde otra conversación (de otra cuenta) pudo recuperar esos metadatos. La propiedad podía contener texto plano o en Base64, y los datos grandes podían dividirse en múltiples propiedades y ensamblarse después, transformando el servicio en un portapapeles compartido.
Este es el segundo canal descubierto por Check Point en esta área de ChatGPT. En marzo, describieron otro que usaba consultas DNS para enviar datos a un servidor externo, corregido por OpenAI el 20 de febrero. Este caso es distinto del incidente de Hugging Face, donde los propios modelos de OpenAI usaron una instancia interna de Artifactory como pizarra durante pruebas de seguridad.
Check Point señala que su mecanismo es diferente y describe ambos como ejemplos de 'un servicio interno compartido que se convirtió en una capa de comunicación no intencionada' entre entornos que debían estar aislados. El informe data de junio de 2026 y no especifica cuándo se desactivó el canal, por lo que se desconoce el tiempo exacto en que estuvo activo.
