Исследователи Check Point Research продемонстрировали уязвимость, при которой одна сессия ChatGPT могла незаметно поручить другой прочитать данные из подключенного Gmail и вернуть результат. Для атаки использовался скрытый канал между изолированными средами разных аккаунтов. Конкретный путь уже закрыт: OpenAI отключила внутренний сервис, через который проходил обмен.
Речь не идет о том, что любой пользователь мог открыть Gmail любого другого человека по одному адресу. Доступ ограничивался тем, что сама сессия жертвы уже имела право читать. Исследователи показали рабочий сценарий, но не сообщили о массовой эксплуатации уязвимости против обычных пользователей.
Как две изолированные сессии смогли обмениваться данными
При задачах с программным кодом ChatGPT запускает отдельные контейнеры. Они должны быть изолированы друг от друга и не имеют обычного прямого доступа в интернет, но могут обращаться к внутренней системе доставки программных пакетов JFrog Artifactory. Она нужна для установки зависимостей.
Команда Check Point обнаружила, что контейнеры разных пользователей могли записывать и читать общие метаданные в одном экземпляре Artifactory. То, что задумывалось как служебная подпись к файлу, превратилось в общий буфер обмена. Одна сессия оставляла там задание, другая забирала его и возвращала результат.
Сам по себе скрытый канал еще не читает почту. Нужна была инструкция, заставляющая сессию жертвы проверять хранилище и выполнять найденное поручение. По данным исследователей, ее можно было спрятать в скопированном запросе, общей переписке или пользовательском GPT. Видимый ответ при этом оставался обычным.
При чем здесь Gmail
Если пользователь заранее подключил Gmail и разрешил сессии читать письма, скрытая инструкция могла использовать эти же полномочия. В демонстрации ChatGPT извлек данные из почты жертвы и через Artifactory вернул их сессии атакующего. Похожий риск теоретически распространялся на другие подключенные приложения — Google Drive, Microsoft Teams, GitHub — но только в пределах уже выданного доступа.
Именно поэтому история важнее отдельной ошибки. Современный ассистент хранит не пароль в привычном смысле, а разрешение действовать от имени пользователя. Если чужая команда попадает внутрь доверенной сессии, программа становится не «взломанным роботом», а добросовестным исполнителем неправильного поручения.
Check Point отмечает, что заметить эпизод было трудно. В интерфейсе могла появиться небольшая отметка о работе с Gmail, но отдельного подтверждения чтения для каждой операции не требовалось. Пользователь видел нормальный ответ на свой вопрос и не знал о параллельной задаче.
Уязвимость еще работает или уже нет
Этот конкретный способ больше не должен работать. Check Point сообщила о находке OpenAI, а компания подтвердила отключение задействованного экземпляра Artifactory. Исследователи прямо отвечают на вопрос об актуальности: обнаруженный ими путь закрыт.
Отдельного подтверждения массовой утечки пользовательской почты нет. Публикация описывает исследовательскую демонстрацию и архитектурный риск, а не список пострадавших. Заголовки о том, что «пользователи читали чужой Gmail», без этой оговорки создают впечатление открытой панели со всеми письмами — такого сценария работа Check Point не описывает.
Короткий пересказ исследования уже опубликовал 3DNews. Практический вывод шире: любой сервис, которому подключают почту, облачное хранилище и рабочие репозитории, должен рассматриваться как еще один привилегированный участник инфраструктуры.
Что стоит проверить пользователю
Панически менять пароль Gmail только из-за этой новости не требуется: описанный канал не основан на краже пароля, а уже отключен. Полезнее открыть настройки ChatGPT и Google-аккаунта, проверить подключенные приложения и отозвать доступ, которым вы больше не пользуетесь. Для рабочей почты следует подключать только те сервисы, которые разрешены политикой компании.
Не стоит вставлять в чат неизвестные длинные инструкции, импортировать непроверенные пользовательские GPT или открывать общие разговоры, обещающие неожиданную функцию. Опасная команда может выглядеть как технический мусор и не обязана просить пароль. Если ответ неожиданно обращается к Gmail, Drive или другому коннектору, нужно проверить журнал действий и выданные разрешения.
Администраторам важна минимизация прав. Ассистенту для краткой задачи не обязательно навсегда видеть весь почтовый ящик и все репозитории. Отдельные рабочие аккаунты, ограниченные папки и подтверждение чувствительных действий уменьшают ущерб даже тогда, когда ошибка еще не известна разработчику.
Вчера мы рассказывали, почему после обновления стоит перезапустить Chrome. История с Gmail напоминает о другой стороне безопасности: обновленный браузер не спасает, если лишние разрешения годами остаются у подключенных сервисов.
Подписывайтесь на Telegram-канал Digital Report, где уязвимости отделяют от паники, а закрытый исследовательский сценарий — от действующей массовой атаки.
