Una falla en puso en riesgo datos de usuarios.
Check Point Research descubrió un canal oculto que podía romper el aislamiento entre sesiones independientes de ChatGPT y permitir que una cuenta enviara tareas a otra. En una prueba, los investigadores lograron que la sesión de una víctima consultara información de su Gmail conectado sin que esta supiera que estaba ejecutando una instrucción ajena. OpenAI confirmó que el servicio interno involucrado ya fue desactivado.
La inteligencia artificial puede convertirse en una poderosa herramienta de productividad cuando tiene acceso al correo electrónico, archivos, plataformas de trabajo y otros servicios corporativos. Pero esa misma capacidad puede convertirse en un nuevo punto de riesgo si los sistemas que deberían mantener aisladas las cuentas encuentran una manera de comunicarse a escondidas.
Ese escenario fue precisamente el que puso a prueba Check Point Research. La investigación identificó un canal oculto que permitía establecer comunicación entre los entornos de ejecución de código de dos sesiones independientes de ChatGPT pertenecientes a cuentas diferentes. En términos prácticos, una cuenta podía enviar una instrucción a otra sin que el usuario de la segunda sesión pudiera ver lo que estaba ocurriendo.
El hallazgo adquiere especial relevancia porque el ataque podía aprovechar los permisos que el propio usuario ya había concedido a su asistente de IA. En una demostración, los investigadores consiguieron que una sesión de ChatGPT perteneciente a una víctima consultara los datos de su cuenta de Gmail conectada y enviara esa información a la sesión controlada por el atacante.
Mientras tanto, para la víctima todo parecía normal. Envió su mensaje, recibió una respuesta aparentemente habitual y no tuvo conocimiento de que, durante esa misma interacción, su asistente también había recibido y procesado una tarea procedente de un tercero.
“Check Point Research descubrió un canal oculto que permitía que una sesión de ChatGPT de una cuenta enviara tareas a una sesión de ChatGPT completamente separada de otra cuenta, sin que la conversación visible de ninguno de los usuarios mostrara nada inusual”, explica Ángel Salazar, Gerente de Ingeniería de Canales de Check Point Software.
El punto de conexión no estaba en el modelo de inteligencia artificial, sino en una pieza de infraestructura utilizada para gestionar determinadas tareas. Los contenedores de ejecución de código de ChatGPT utilizaban una instancia interna de JFrog Artifactory para gestionar solicitudes relacionadas con paquetes de software. Aunque los contenedores pertenecientes a diferentes cuentas estaban diseñados para permanecer aislados, los investigadores encontraron que podían leer y escribir determinados metadatos compartidos en ese servicio.
Ese mecanismo terminó funcionando, en la práctica, como un buzón invisible entre entornos que deberían haber permanecido separados. Una cuenta podía escribir información en esas propiedades y otra leerla poco después. Cuando los datos superaban el tamaño permitido, podían dividirse en fragmentos y reconstruirse en el otro extremo.
A partir de ese descubrimiento, CPR desarrolló una prueba de concepto capaz de utilizar ese canal para transmitir instrucciones. El atacante solo necesitaba introducir una instrucción maliciosa en un contexto que llegara a la víctima. Entre los escenarios posibles identificados por los investigadores estaban un mensaje manipulado, un enlace de conversación compartida o una GPT personalizada que incluyera una instrucción oculta.
El riesgo aumentaba porque la sesión de la víctima ya contaba con permisos legítimos para acceder a determinadas aplicaciones conectadas. De acuerdo con la investigación, el alcance podía incluir el historial de conversaciones y archivos del chat, así como información disponible a través de servicios vinculados a la cuenta, entre ellos Gmail, Google Drive, Microsoft Teams y GitHub.
En el caso demostrado por CPR, ChatGPT pudo recuperar información del correo electrónico conectado de la víctima y transmitirla a la sesión del atacante en una sola interacción.
Otro elemento que llamó la atención de los investigadores fue la ausencia de una barrera visible para el usuario. Las configuraciones de aplicaciones conectadas podían aprobar automáticamente determinadas lecturas consideradas de bajo riesgo. El único indicio registrado en la demostración fue una pequeña etiqueta asociada a la interacción con Gmail, que aparecía después de realizada la consulta y, por tanto, no funcionaba como una oportunidad previa de autorización.
Check Point Research comunicó el hallazgo a OpenAI. La compañía confirmó que la instancia específica de Artifactory identificada durante la investigación fue desactivada, cerrando la vía concreta utilizada en la prueba.
Sin embargo, para los investigadores, el caso deja una advertencia que va mucho más allá de una plataforma específica. A medida que los asistentes de IA reciben acceso a más herramientas, información y credenciales dentro de las organizaciones, también crece la superficie que un atacante puede intentar manipular.
El problema no necesariamente requiere que una inteligencia artificial sea maliciosa. Puede bastar con que un atacante consiga introducir instrucciones que el sistema interprete como legítimas y logre que el agente utilice permisos que ya le fueron concedidos para realizar una acción que beneficia al atacante.
Esta posibilidad es especialmente relevante en entornos empresariales, donde los asistentes de IA pueden interactuar con correos electrónicos, documentos, repositorios de código, sistemas internos y otras plataformas críticas. En ese contexto, la infraestructura que conecta y soporta estos agentes puede convertirse en un objetivo tan importante como el propio modelo.
La investigación también guarda relación con el incidente de Hugging Face posteriormente revelado por OpenAI. CPR había identificado el problema en la misma infraestructura de Artifactory y contaba con una prueba de concepto antes de que una cadena independiente de actividades en ese servicio derivara en el incidente. Aunque los investigadores aclaran que no se trató del mismo ataque ni de la misma técnica, ambos casos ponen el foco sobre el riesgo que representa una infraestructura compartida utilizada por agentes de IA.
Para los equipos de seguridad, el mensaje es cada vez más claro: no basta con saber qué modelos utiliza una organización. También es necesario conocer qué asistentes están activos, a qué aplicaciones tienen acceso y qué acciones pueden ejecutar en nombre de los usuarios.
Check Point recomienda reforzar la visibilidad sobre el uso corporativo de herramientas de IA, implementar mecanismos de protección en tiempo real capaces de detectar manipulación y posibles fugas de información, y establecer controles sobre las acciones que los agentes pueden realizar, además de supervisar sus resultados.
La investigación de Check Point Research muestra así un nuevo desafío de seguridad que acompaña la expansión de la inteligencia artificial empresarial: cuando un asistente puede leer, ejecutar, conectar y actuar en nombre de una persona, proteger el modelo ya no es suficiente. También hay que proteger los caminos invisibles por los que ese agente puede recibir instrucciones y mover información.
About The Author
