Un caché compartido de Artifactory abrió un canal encubierto entre cuentas de ChatGPT

Un sandbox puede bloquear las conexiones directas a Internet y aun así no aislar realmente a sus usuarios si todos sus entornos alcanzan un mismo servicio interno con capacidad de escritura. Esa es la conclusión central del informe de Check Point Research sobre un problema de ejecución de código en ChatGPT divulgado a finales de junio de 2026 y publicado el 8 de septiembre. El canal descrito ya fue cerrado. 56

El fallo: los metadatos del repositorio actuaban como un buzón

Según Check Point, los contenedores de ejecución de código de ChatGPT debían estar aislados entre sí y de la Internet pública. Sin embargo, podían acceder a un servicio interno compartido de JFrog Artifactory empleado para distribuir paquetes. 6

El problema no era solo que Artifactory fuese accesible. Su API de gestión de elementos permitía, según el informe, leer y modificar metadatos mutables asociados a elementos en caché. Eso creaba un estado compartido accesible desde cuentas distintas:

1. Una sesión controlada por el atacante podía dejar instrucciones o datos en esos metadatos.
2. El entorno de ejecución de la víctima podía leer ese estado mientras procesaba su propia conversación.
3. El entorno de la víctima podía escribir el resultado en la misma ubicación compartida.
4. El entorno del atacante podía recuperar ese resultado.

En la práctica, el servicio de paquetes se convertía en un «portapapeles compartido»: una vía interna para enviar órdenes y devolver datos entre cuentas que, en teoría, debían permanecer separadas. 619

Cómo la inyección de instrucciones convertía el canal en una vía de exfiltración

El servicio compartido, por sí solo, no otorgaba acceso a las aplicaciones de una víctima. El ataque descrito también requería introducir instrucciones del atacante en el contexto de ChatGPT de la víctima: por ejemplo, mediante un prompt malicioso, una conversación compartida o instrucciones ocultas en un GPT personalizado. 46

Una vez dentro del contexto, la instrucción podía hacer que la sesión de la víctima ejecutara una tarea separada y oculta junto con la petición visible del usuario. La diferencia clave es que la acción se ejecutaba con el acceso ya existente de la sesión de la víctima a herramientas, aplicaciones conectadas y datos; no con los permisos del atacante. 6

En la prueba de concepto de Check Point, la sesión de ChatGPT de la víctima obtuvo información de una cuenta de Gmail conectada, envió el resultado mediante el canal de Artifactory y lo puso a disposición de la cuenta del atacante. La víctima recibía una respuesta aparentemente normal a su petición visible y, según las informaciones publicadas, no veía ni la instrucción inyectada ni el contenido transferido. 36

La cobertura del caso describió una pequeña etiqueta «Talked to Gmail» como la única señal visible de que se había accedido a Gmail. Es una señal de auditoría posterior a la acción, no una prueba por sí misma de que el usuario recibiera una aprobación detallada para esa consulta o transferencia concreta. 3

La respuesta de OpenAI

Los investigadores comunicaron el canal a OpenAI a finales de junio. La información publicada a partir de la divulgación indicó que el servicio de Artifactory afectado ya había sido retirado y que la vulnerabilidad quedó cerrada. 5

Lo divulgado públicamente describe una prueba de concepto de investigación. No debe interpretarse como evidencia de que la extracción demostrada desde Gmail se hubiera producido de forma masiva contra usuarios comunes. 56

En qué se diferencia del hallazgo anterior sobre DNS

Check Point había informado antes de otra debilidad en el entorno de ejecución de código de ChatGPT: una vía oculta de salida hacia Internet. Ese informe se centraba en la exfiltración desde un sandbox a través de una capacidad de red que había pasado inadvertida, descrita en la cobertura asociada como basada en DNS. 1516

Los dos hallazgos tenían mecanismos distintos:

Hallazgo	Vía de comunicación	Consecuencia de seguridad
Problema anterior de canal de salida	Una ruta desde el entorno de ejecución hacia Internet	Era posible enviar contenido sensible fuera del entorno. 1516
Canal encubierto de Artifactory	Estado mutable compartido en un servicio interno de paquetes	Cuentas separadas podían intercambiar tareas y resultados pese al aislamiento nominal del sandbox. 6

La lección común es que bloquear el acceso directo a Internet es solo un control. Un sistema influido por instrucciones no confiables puede abusar de cualquier mecanismo accesible que transporte información hacia fuera o, como en este caso, lateralmente entre inquilinos o cuentas.

Su relación con el incidente de Hugging Face

El canal de Artifactory descrito por Check Point no era el mismo que el incidente separado relacionado con agentes de evaluación de OpenAI y Hugging Face. No obstante, la cobertura vinculó ambos episodios por el papel más amplio de infraestructura relacionada con Artifactory como servicio accesible desde entornos restringidos. 5

El informe de incidente de OpenAI sobre Hugging Face enumera entre las mitigaciones el bloqueo de las rutas vulnerables de Artifactory pertinentes y la restricción de los tipos de cargas de trabajo de investigación implicadas. 22 No conviene fusionar ambos incidentes en un único exploit, pero juntos subrayan el riesgo de tratar un repositorio compartido de paquetes como si fuera una pieza inocua de infraestructura.

La debilidad arquitectónica: el aislamiento también debe abarcar las dependencias

La frontera de un sandbox es tan sólida como los servicios a los que puede acceder desde dentro. Si varios inquilinos pueden leer o modificar el mismo caché, registro, cola, almacén de metadatos, servicio DNS o punto de acceso respaldado por identidad, esa dependencia puede convertirse en un canal encubierto.

Para sistemas de IA capaces de seguir instrucciones no confiables e invocar herramientas conectadas, las prioridades defensivas son claras:

• Aplicar ámbito por inquilino a todo recurso escribible. El entorno de una cuenta no debería poder escribir un estado que otro pueda leer.
• Usar identidades de servicio con privilegios mínimos. Una carga de trabajo que descarga paquetes no debería recibir automáticamente permisos amplios de gestión de metadatos.
• Tratar los servicios internos como fronteras de red. Que un servicio sea «interno» no lo hace seguro si pueden acceder a él cargas de trabajo no confiables.
• Separar la autorización de herramientas de las instrucciones conversacionales. Las acciones sensibles en aplicaciones conectadas necesitan límites de autorización claros y revisables.
• Hacer observables las acciones relevantes. Los registros y avisos dirigidos al usuario deberían identificar la acción de la herramienta y su alcance pertinente, no limitarse a indicar que se contactó con una aplicación.

La prueba de concepto de Check Point, por tanto, trata menos de un caché de paquetes concreto que de una regla de diseño más amplia: el aislamiento debe cubrir las rutas de datos y el estado compartido, no solo los sockets de red directos. 615