Sdílená cache Artifactory vytvořila skrytý kanál mezi účty ChatGPT

Sandbox může blokovat přímá síťová spojení a přesto uživatele účinně neoddělit, pokud všechny sandboxy dosáhnou na stejnou interní službu, do níž lze zapisovat. Právě to je hlavní závěr zprávy Check Point Research o chybě v prostředí pro spouštění kódu v ChatGPT. Výzkumníci ji oznámili koncem června 2026 a zveřejnili 8. září; popsaný kanál byl mezitím uzavřen. 56

Metadata balíčků jako společná schránka

Kontejnery ChatGPT určené pro spouštění kódu měly být vzájemně izolované a bez přímého přístupu na veřejný internet. Podle Check Pointu však všechny dosáhly na sdílenou interní instanci JFrog Artifactory, tedy službu používanou pro distribuci softwarových balíčků. 6

Samotná dostupnost Artifactory nebyla podstatou problému. Její rozhraní Item Management API podle výzkumníků dovolovalo kontejnerům číst a měnit proměnlivá metadata uložených položek v cache. Vznikl tak sdílený stav přístupný napříč účty:

1. relace ovládaná útočníkem mohla do metadat uložit instrukce nebo data;
2. prostředí oběti tento stav mohlo přečíst při zpracování vlastního rozhovoru;
3. relace oběti mohla výsledek zapsat zpět na stejné místo;
4. útočník si jej následně mohl vyzvednout.

V praxi se tak služba pro balíčky změnila v obousměrnou „sdílenou schránku“ — interní cestu pro předávání příkazů i výsledků mezi účty, které měly zůstat oddělené. 619

Prompt injection: z komunikační cesty cesta k datům

Sdílená služba sama o sobě nedávala útočníkovi přístup k aplikacím oběti. Popsaný útok navíc vyžadoval dostat útočníkovy instrukce do kontextu oběti — například škodlivým promptem, sdílenou konverzací nebo skrytými instrukcemi ve vlastním GPT. 46

Jakmile se instrukce do kontextu dostala, mohla relaci oběti přimět, aby vedle viditelného požadavku uživatele vykonala ještě samostatný skrytý úkol. Důležité je, že taková akce běžela s oprávněními samotné relace oběti: tedy s jejím přístupem k nástrojům, připojeným aplikacím a datům, nikoli s oprávněními útočníka. 6

V proof of conceptu Check Pointu relace oběti načetla informace z připojeného účtu Gmail, odeslala je kanálem přes Artifactory a zpřístupnila je účtu útočníka. Oběť přitom dostala běžně vypadající odpověď na svůj viditelný dotaz a podle zveřejněných informací neviděla ani vloženou instrukci, ani přenášený obsah. 36

Jediným viditelným náznakem přístupu ke Gmailu měl být malý štítek „Talked to Gmail“. Jde ale o záznam toho, že ke kontaktu s aplikací už došlo, ne o důkaz, že uživatel dostal podrobné schvalovací okno pro konkrétní načtení či přenos dat. 3

Reakce OpenAI

Výzkumníci kanál nahlásili OpenAI koncem června. Zprávy vycházející ze zveřejnění uvádějí, že dotčená služba Artifactory už byla vyřazena z provozu a mezera byla uzavřena. 5

Veřejně popsaný případ je demonstrací výzkumníků. Nelze jej proto vykládat jako důkaz, že k ukázanému získávání dat z Gmailu docházelo plošně proti běžným uživatelům v reálných útocích. 56

V čem se liší od dřívějšího problému s DNS

Check Point už dříve popsal jinou slabinu v běhovém prostředí pro spouštění kódu v ChatGPT: skrytou odchozí cestu ze sandboxu na veřejný internet. Tento případ se týkal exfiltrace přes přehlédnutou síťovou možnost, v souvisejících zprávách popisovanou jako kanál založený na DNS. 1516

Mechanismus obou zjištění byl odlišný:

Zjištění	Komunikační cesta	Bezpečnostní dopad
Dřívější problém s odchozím kanálem	Cesta z běhového prostředí na veřejný internet	Citlivý obsah mohl opustit prostředí. 1516
Skrytý kanál přes Artifactory	Sdílený měnitelný stav v interní službě pro balíčky	Oddělené účty si mohly předávat úkoly a výsledky navzdory izolaci sandboxu. 6

Společné ponaučení zní, že blokování přímého internetu je jen jedna vrstva ochrany. Systém ovlivnitelný promptem může zneužít jakýkoli dostupný mechanismus, který dokáže přenášet informace ven — nebo stranou k jinému tenantovi.

Souvislost s incidentem kolem Hugging Face

Kanál přes Artifactory popsaný Check Pointem nebyl totožný se samostatným incidentem týkajícím se hodnoticích agentů OpenAI a Hugging Face. Události však spojuje širší problém: infrastruktura související s Artifactory byla dostupnou službou uvnitř jinak omezených prostředí. 5

Technická zpráva OpenAI k incidentu uvádí mimo jiné blokování dotčených zranitelných cest v Artifactory a omezení typů zapojených výzkumných úloh. 22 Nejde o jeden a tentýž exploit, oba případy však ukazují, proč nelze sdílený repozitář balíčků považovat za neškodnou technickou výplň.

Izolace musí zahrnovat i závislé služby

Hranice sandboxu je jen tak silná, jak silné je oddělení služeb, na něž se lze zevnitř připojit. Jestliže více tenantů může číst nebo měnit stejnou cache, registr, frontu, úložiště metadat, DNS službu či endpoint spojený s identitou, může se z takové závislosti stát skrytý kanál.

Pro systémy AI, které mohou pracovat s nedůvěryhodnými instrukcemi a volat připojené nástroje, z toho plynou jasné priority:

• Oddělit podle tenantů každý zapisovatelný zdroj. Běhové prostředí jednoho účtu nesmí zapisovat stav čitelný z jiného účtu.
• Používat identity služeb s minimálními oprávněními. Proces stahující balíčky nemá automaticky získat široká oprávnění ke správě metadat.
• Považovat interní služby za síťové hranice. „Interní“ neznamená bezpečné, pokud se ke službě dostane nedůvěryhodná úloha.
• Oddělit oprávnění nástrojů od instrukcí v konverzaci. Citlivé akce v připojených aplikacích potřebují jasně vymezitelné a kontrolovatelné autorizační hranice.
• Zviditelnit důsledné akce. Logy i oznámení pro uživatele by měly uvádět konkrétní akci nástroje a její relevantní rozsah, ne jen signalizovat kontakt s aplikací.

Demonstrace Check Pointu proto není jen příběhem jedné cache balíčků. Ukazuje širší pravidlo návrhu: izolace musí pokrývat datové cesty a sdílený stav, ne pouze přímá síťová spojení. 615