Jaettu Artifactory-välimuisti loi ChatGPT:hen salaisen kanavan tilien välille

ChatGPT:n koodiajoympäristö voi olla eristetty muista ympäristöistä ja julkisesta internetistä, mutta eristys pettää, jos kaikilla ympäristöillä on pääsy samaan sisäiseen palveluun, jonka tilaa voi muuttaa. Tämä on Check Point Researchin 8. syyskuuta 2026 julkaisemassa raportissa kuvatun ChatGPT-haavoittuvuuden keskeinen opetus. Tutkijoiden mukaan aukko ilmoitettiin OpenAI:lle kesäkuun lopulla, ja se on sittemmin suljettu. 56

Pakettimetadatasta tuli tilien välinen postilaatikko

Check Pointin mukaan ChatGPT:n koodia suorittavien konttien oli tarkoitus olla erillään toisistaan ja julkisesta internetistä. Konteilla oli silti pääsy yhteiseen, pakettien välitykseen käytettyyn sisäiseen JFrog Artifactory -palveluun. 6

Ongelma ei ollut vain palvelun saavutettavuus. Artifactoryn Item Management API mahdollisti raportin mukaan välimuistissa oleviin kohteisiin liitetyn muokattavan metadatan lukemisen ja muuttamisen. Näin syntyi tilien välinen yhteinen tila:

1. Hyökkääjän hallitsema istunto saattoi kirjoittaa ohjeita tai tietoa metatietoon.
2. Uhrin koodiajoympäristö saattoi lukea tiedon oman keskustelunsa käsittelyn yhteydessä.
3. Uhrin ympäristö saattoi kirjoittaa tuloksen takaisin samaan paikkaan.
4. Hyökkääjän ympäristö saattoi hakea tuloksen.

Käytännössä pakettipalvelusta tuli kaksisuuntainen "jaettu leikepöytä": komento- ja paluukanava sellaisten käyttäjätilien välille, joiden piti olla toisistaan erillään. 619

Prompt-injektio muutti kanavan tiedonvuotoreitiksi

Jaettu palvelu ei itsessään antanut hyökkääjälle pääsyä uhrin sovelluksiin. Raportoitu hyökkäys edellytti myös, että hyökkääjän ohje päätyi uhrin ChatGPT-kontekstiin – esimerkiksi haitallisen kehotteen, jaetun keskustelun tai mukautettuun GPT:hen piilotettujen ohjeiden kautta. 46

Kun ohje oli kontekstissa, se saattoi saada uhrin istunnon suorittamaan erillisen, piilotetun tehtävän käyttäjän näkyvän pyynnön rinnalla. Olennaista on, että toiminto käytti uhrin istunnon olemassa olevia oikeuksia työkaluihin, yhdistettyihin sovelluksiin ja tietoihin – ei hyökkääjän oikeuksia. 6

Check Pointin konseptitodistuksessa uhrin ChatGPT-istunto haki tietoa yhdistetystä Gmail-tilistä, välitti tuloksen Artifactory-kanavan kautta ja teki sen hyökkääjän tilin saataville. Uhrille näkyi tavanomaisen näköinen vastaus omaan pyyntöönsä, eikä hän raportoinnin mukaan nähnyt injektoitua ohjetta tai siirrettyä sisältöä. 36

Raportoinnin mukaan ainoa näkyvä merkki Gmailin käytöstä oli pieni “Talked to Gmail” -ilmaisin. Se on toiminnon jälkeinen loki- tai auditointimerkintä, ei sellaisenaan todiste siitä, että käyttäjältä olisi pyydetty erillinen, tarkkarajainen hyväksyntä kyseiseen hakuun tai tiedonsiirtoon. 3

OpenAI:n toimet

Tutkijat ilmoittivat kanavasta OpenAI:lle kesäkuun lopulla. Ilmoitukseen perustuvan raportoinnin mukaan kyseinen Artifactory-palvelu oli jo poistettu käytöstä ja aukko suljettu. 5

Julkisuudessa kuvattu tapaus on tutkimuksellinen konseptitodistus. Se ei ole näyttö siitä, että demonstroitua Gmail-tietojen hakua olisi tehty laajasti tavallisia käyttäjiä vastaan todellisissa hyökkäyksissä. 56

Ero aiempaan DNS-löydökseen

Check Point raportoi aiemmin toisesta ChatGPT:n koodiajoympäristöä koskevasta ongelmasta: piilotetusta ulospäin suuntautuvasta yhteysreitistä julkiseen internetiin. Siinä huomio kohdistui eristetystä ympäristöstä ulos johtavaan, raportoinnin mukaan DNS:ään perustuvaan tiedonsiirtokanavaan. 1516

Löydösten toimintaperiaatteet olivat erilaiset:

Löydös	Viestintäreitti	Tietoturvavaikutus
Aiempi ulosmenevä kanava	Reitti ajoalustasta julkiseen internetiin	Arkaluonteista sisältöä voitiin lähettää ympäristön ulkopuolelle. 1516
Artifactoryn peitekanava	Yhteisen sisäisen pakettipalvelun muokattava tila	Eri käyttäjätilit saattoivat vaihtaa tehtäviä ja tuloksia nimellisestä eristyksestä huolimatta. 6

Yhteinen opetus on, että suorien internet-yhteyksien estäminen on vain yksi suojauskeino. Kehotteiden vaikutukselle altis järjestelmä voi väärinkäyttää mitä tahansa saavutettavaa mekanismia, joka kuljettaa tietoa ulospäin tai sivusuunnassa eri asiakkaiden välillä.

Yhteys Hugging Face -tapaukseen

Check Pointin kuvaama Artifactory-kanava ei ollut sama kuin erillinen OpenAI:n arviointiagentteihin ja Hugging Faceen liittynyt tapaus. Raportoinnissa tapahtumat kuitenkin yhdistyvät laajempaan kysymykseen Artifactoryyn liittyvästä infrastruktuurista rajoitettujen ympäristöjen saavutettavana palveluna. 5

OpenAI:n tapausraportin mukaan korjauksiin kuului haavoittuvien Artifactory-reittien estäminen ja kyseisten tutkimustyökuormien rajaaminen. 22 Tapauksia ei pidä sekoittaa samaksi hyväksikäyttöketjuksi, mutta ne yhdessä havainnollistavat, miksi jaettua pakettivarastoa ei voi pitää harmittomana taustainfrastruktuurina.

Eristyksen on ulotuttava myös riippuvuuksiin

Hiekkalaatikon raja on vain niin vahva kuin sen sisältä saavutettavat palvelut. Jos useat asiakkaat voivat lukea tai muuttaa samaa välimuistia, rekisteriä, jonoa, metadatavarastoa, DNS-palvelua tai identiteettiin sidottua päätepistettä, riippuvuudesta voi tulla peitekanava.

Tekoälyjärjestelmissä, jotka voivat noudattaa epäluotettavia ohjeita ja käyttää yhdistettyjä työkaluja, puolustuksen keskeisiä periaatteita ovat:

• Rajaa kaikki kirjoitettavat resurssit asiakaskohtaisesti. Yhden tilin ajoalustan ei pidä voida kirjoittaa tilaa, jonka toinen tili voi lukea.
• Käytä vähimpien oikeuksien palveluidentiteettejä. Pakettien hakuun tarkoitettu työkuorma ei tarvitse automaattisesti laajoja metadatan hallintaoikeuksia.
• Kohtele sisäisiä palveluja verkkorajoina. Sisäinen ei tarkoita turvallista, jos epäluotettava työkuorma pääsee palveluun.
• Erota työkalujen valtuutus keskusteluohjeista. Yhdistettyjen sovellusten arkaluonteisille toimille tarvitaan selkeät, tarkistettavat valtuutusrajat.
• Tee merkittävät toimet näkyviksi. Lokien ja käyttäjälle näkyvien ilmoitusten pitäisi kertoa käytetty työkalu ja toiminnon olennainen laajuus, ei vain sitä, että sovellukseen oltiin yhteydessä.

Check Pointin konseptitodistus ei siis koske vain yhtä pakettivälimuistia. Sen laajempi suunnittelusääntö on, että eristyksen on katettava tiedonsiirtoreitit ja yhteinen tila – ei vain suorat verkkoyhteydet. 615