Una sessione di ChatGPT controllata da un aggressore poteva impartire istruzioni nascoste a quella di un altro utente e sfruttarne gli strumenti, i file e perfino le applicazioni collegate. Nel test realizzato dai ricercatori, il sistema ha consultato Gmail per conto della vittima e ha fatto arrivare informazioni sulle sue email all’account dell’attaccante, mentre sullo schermo continuava a comparire una risposta apparentemente normale.
La vulnerabilità è stata descritta l’8 settembre 2026 da Check Point Research in una ricerca firmata da Alexey Bukhteyev. Il problema riguardava l’architettura usata da ChatGPT per eseguire codice in ambienti isolati e, secondo Check Point, era già stato eliminato al momento della pubblicazione.
OpenAI ha confermato ai ricercatori che l’istanza interna di JFrog Artifactory coinvolta era stata dismessa. Non risultano, nelle fonti pubbliche consultate, prove che la tecnica sia stata sfruttata contro utenti reali al di fuori delle dimostrazioni dei ricercatori.
Il caso conta soprattutto per le imprese. Gli assistenti basati sull’intelligenza artificiale stanno passando dalla generazione di testo all’accesso diretto a posta elettronica, documenti aziendali, repository di codice e altri servizi. Ogni nuovo collegamento aumenta la quantità di informazioni che un agente può raggiungere quando opera con le autorizzazioni dell’utente.
La vulnerabilità nascosta nelle sandbox
Per alcune operazioni ChatGPT utilizza ambienti di esecuzione separati, chiamati comunemente sandbox o container. Servono, per esempio, a eseguire codice e installare librerie necessarie a un’analisi. L’isolamento dovrebbe impedire che due sessioni appartenenti a utenti diversi possano comunicare direttamente.
Secondo Check Point, quella separazione funzionava a livello di rete. I container non potevano collegarsi liberamente tra loro e, nell’ambiente analizzato dai ricercatori, non disponevano neppure di accesso diretto alla rete Internet pubblica. Avevano però una risorsa in comune: un’istanza interna di JFrog Artifactory, piattaforma utilizzata per distribuire pacchetti software e dipendenze.
Il problema nasceva dalle autorizzazioni disponibili su quel servizio. Artifactory permetteva di associare proprietà testuali agli elementi conservati nei repository. Le credenziali assegnate ai container potevano, secondo i test di Check Point, sia leggere sia modificare quelle proprietà.
I ricercatori hanno scritto una proprietà su un file da un container associato a un account e l’hanno poi recuperata da un container appartenente a un secondo account. Il dato era identico. Informazioni più grandi potevano essere spezzate in diversi segmenti e codificate, per esempio, in Base64.
Un servizio progettato per distribuire software si trasformava così in quello che Check Point definisce uno “shared clipboard”, una sorta di appunti condivisi tra ambienti che avrebbero dovuto restare separati.
Un secondo utente invisibile nella conversazione
La possibilità di trasferire dati tra container non bastava, da sola, per arrivare alla posta elettronica di un altro utente. Check Point ha combinato quel canale con istruzioni impartite al modello.
Secondo la ricerca, un prompt costruito appositamente poteva convincere ChatGPT a gestire due flussi durante la stessa interazione. Il primo era quello visibile: l’utente faceva una richiesta e riceveva la normale risposta. Il secondo rimaneva nascosto e prevedeva il controllo periodico di una sorta di casella di comunicazione realizzata attraverso Artifactory.
Se l’account dell’aggressore lasciava lì un compito, la sessione della vittima poteva leggerlo, eseguirlo utilizzando le proprie autorizzazioni e depositare la risposta nello stesso canale.
I ricercatori hanno dimostrato il meccanismo attraverso una conversazione ChatGPT condivisa. La vittima doveva aprire la conversazione e inviare un messaggio ordinario. Nel test, mentre ChatGPT rispondeva alla domanda visibile, utilizzava anche il collegamento Gmail dell’utente e trasferiva all’altro account informazioni recuperate dalla casella di posta.
Check Point sostiene che istruzioni analoghe avrebbero potuto essere inserite anche in un prompt copiato dall’utente o nella configurazione nascosta di un GPT personalizzato.
Non significa che qualunque link ChatGPT condiviso permettesse di rubare dati. L’attacco descritto richiedeva una sequenza precisa di condizioni: la presenza delle istruzioni malevole, la possibilità di utilizzare il canale fra i container e la disponibilità, nella sessione della vittima, di dati o applicazioni accessibili al modello.
Perché Gmail aumenta l’impatto economico
Nel proof of concept di Check Point, Gmail rende immediatamente comprensibile la portata del problema. Una casella di posta aziendale può contenere contratti, fatture, informazioni sui clienti, trattative commerciali, documenti finanziari e credenziali temporanee.
La stessa logica vale per altri servizi collegati a un assistente. Check Point cita, fra gli esempi, Google Drive, Microsoft Teams e GitHub. La quantità di informazioni potenzialmente raggiungibili dipende però dalle autorizzazioni assegnate alla sessione e dagli strumenti effettivamente collegati.
Qui cambia anche il calcolo economico della cybersicurezza applicata all’intelligenza artificiale. Quando un chatbot può soltanto generare una risposta, un prompt malevolo ha capacità operative limitate. Quando lo stesso sistema dispone di accesso autorizzato alla posta, ai documenti o al codice aziendale, un errore nell’isolamento dell’infrastruttura può propagarsi verso informazioni conservate fuori dalla piattaforma stessa.
La ricerca mette quindi al centro un principio già noto nella sicurezza informatica: assegnare a ciascun sistema soltanto i privilegi indispensabili. Con gli agenti di intelligenza artificiale il problema assume una forma diversa perché è il modello a decidere, sulla base di istruzioni in linguaggio naturale, quando utilizzare le risorse disponibili.
Le autorizzazioni delle applicazioni collegate
Il test di Check Point richiama inoltre il funzionamento delle autorizzazioni delle app collegate a ChatGPT.
La documentazione OpenAI descrive diversi livelli di controllo sulle operazioni svolte attraverso queste integrazioni. Secondo quanto riportato dai ricercatori, nella configurazione considerata durante il test le azioni di lettura considerate a rischio inferiore potevano essere effettuate senza una conferma preventiva separata dell’utente. La persona vedeva successivamente un’indicazione dell’utilizzo dell’app.
Nel proof of concept compariva infatti l’indicazione relativa all’uso di Gmail, ma l’accesso era già avvenuto.
La distinzione tra un’operazione di lettura e una di modifica è importante per impedire azioni distruttive, ma diventa meno rassicurante quando il bersaglio è il dato stesso. Leggere un messaggio riservato può produrre un danno economico anche senza modificare o cancellare nulla.
Per le aziende che…
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Alessandra Castelli
Source link
