ChatGPT Flaw Let a Planted Prompt Send a Victims Gmail Data to Another Account

Exfiltration de données via une vulnérabilité de communication inter-conteneurs dans ChatGPT

Des chercheurs de Check Point ont découvert qu’une instruction malveillante injectée dans une conversation ChatGPT pouvait permettre l’exfiltration silencieuse de données (notamment depuis Gmail) vers un compte tiers. L’attaque exploitait une faille dans la séparation des environnements d’exécution de ChatGPT.

Points clés :

• Mécanisme d’attaque : L’instruction malveillante, insérée via un prompt, une conversation partagée ou un GPT personnalisé, force ChatGPT à exécuter deux flux de travail simultanés en mode “Thinking” : une réponse légitime pour l’utilisateur et une tâche cachée pour l’attaquant.
• Canal de fuite : Le système de gestion des dépendances (JFrog Artifactory), utilisé par OpenAI pour installer des paquets Python/npm, servait de “presse-papier” partagé. Les conteneurs isolés de différents utilisateurs pouvaient lire et écrire des métadonnées (propriétés) sur ce service interne, permettant un transfert de données entre comptes distincts.
• Exploitation : L’attaquant n’avait pas besoin d’élever ses privilèges ; il exploitait simplement l’accès légitime dont disposait déjà le conteneur de la victime (accès Gmail, historique de chat, fichiers).

Vulnérabilités :

• Aucune CVE spécifique n’a été attribuée, car il s’agit d’une faille logique dans l’architecture des services internes d’OpenAI (confinement insuffisant des environnements d’exécution).

Recommandations :

• Paramétrage de la sécurité : Les utilisateurs sont invités à configurer leurs applications connectées (comme Gmail) sur le mode “Always ask” (toujours demander) afin de valider manuellement chaque accès aux données.
• Gestion des permissions : Pour les environnements Business, Enterprise et Education, il est recommandé de restreindre strictement les actions autorisées pour chaque application connectée via les paramètres d’administration.
• Prudence avec les GPT tiers : Éviter d’interagir avec des agents personnalisés non vérifiés ou d’ouvrir des conversations ChatGPT partagées provenant de sources inconnues.

OpenAI a confirmé avoir désactivé le service interne impliqué dans cette faille, éliminant ainsi le canal de communication utilisé par l’attaque.

Source