Cache Artifactory Bersama Jadi Kanal Rahasia Antar-Akun ChatGPT

Sandbox dapat memblokir koneksi jaringan langsung, tetapi tetap gagal mengisolasi pengguna bila setiap sandbox masih dapat menjangkau layanan internal bersama yang bisa ditulisi. Itulah inti temuan Check Point Research mengenai masalah eksekusi kode ChatGPT yang dilaporkan pada akhir Juni 2026 dan dipublikasikan pada 8 September. Kanal tersebut dilaporkan telah ditutup. 56

Metadata paket berubah menjadi “kotak surat”

Menurut Check Point, container eksekusi kode ChatGPT semestinya terisolasi satu sama lain serta dari internet publik. Namun, container tersebut masih dapat mengakses layanan internal JFrog Artifactory bersama yang dipakai untuk distribusi paket perangkat lunak. Artifactory adalah pengelola repositori paket yang lazim digunakan dalam proses pengembangan dan penyediaan perangkat lunak. 6

Masalahnya bukan sekadar Artifactory dapat dijangkau. API Item Management-nya dilaporkan memungkinkan container membaca dan mengubah metadata yang bersifat dinamis pada item cache. Alhasil, tercipta state bersama yang bisa diakses lintas akun:

1. Sesi yang dikendalikan penyerang menaruh instruksi atau data dalam metadata bersama.
2. Lingkungan eksekusi kode milik korban membaca state tersebut ketika memproses percakapannya sendiri.
3. Lingkungan korban menulis hasil kembali ke lokasi yang sama.
4. Lingkungan penyerang mengambil hasil itu.

Secara praktis, layanan paket ini menjadi semacam “clipboard bersama”: jalur perintah-dan-kendali internal sekaligus pengembalian data antara akun yang seharusnya terpisah. 619

Prompt injection mengubah kanal itu menjadi jalur pencurian data

Layanan bersama itu sendiri tidak otomatis memberi akses ke aplikasi milik korban. Serangan yang didemonstrasikan juga memerlukan instruksi penyerang disisipkan ke konteks ChatGPT korban—misalnya melalui prompt berbahaya, percakapan bersama, atau instruksi tersembunyi dalam custom GPT. 46

Setelah masuk ke konteks, instruksi tersebut dapat membuat sesi korban menjalankan tugas lain secara tersembunyi sambil tetap menjawab permintaan pengguna seperti biasa. Yang penting, tindakan itu berjalan dengan akses yang sudah dimiliki sesi korban terhadap alat, aplikasi yang terhubung, dan data—bukan dengan izin milik penyerang. 6

Dalam pembuktian konsep Check Point, sesi ChatGPT korban mengambil informasi dari akun Gmail yang terhubung, mengirimkan hasilnya melalui kanal Artifactory, lalu membuatnya tersedia bagi akun penyerang. Korban tetap memperoleh jawaban yang tampak normal atas permintaannya dan, menurut laporan, tidak melihat instruksi yang disisipkan maupun konten yang dipindahkan. 36

Pemberitaan menyebut label kecil “Talked to Gmail” sebagai satu-satunya tanda bahwa Gmail diakses. Itu adalah sinyal audit setelah tindakan berlangsung, bukan bukti bahwa pengguna menerima persetujuan yang rinci untuk pengambilan atau pemindahan data tertentu. 3

Respons OpenAI: kanal dilaporkan sudah ditutup

Para peneliti melaporkan kanal tersebut kepada OpenAI pada akhir Juni. Berdasarkan pemberitaan yang mengutip pengungkapan itu, layanan Artifactory terdampak telah dinonaktifkan dan celahnya sudah ditutup. 5

Laporan publik ini menggambarkan pembuktian konsep penelitian. Ini tidak boleh ditafsirkan sebagai bukti bahwa pengambilan data Gmail yang didemonstrasikan telah terjadi secara luas terhadap pengguna biasa di dunia nyata. 56

Bedanya dengan temuan DNS sebelumnya

Sebelumnya, Check Point melaporkan kelemahan lain pada runtime eksekusi kode ChatGPT: jalur keluar tersembunyi menuju internet publik. Laporan itu berfokus pada eksfiltrasi dari sandbox melalui kemampuan jaringan yang terlewatkan, yang dalam pemberitaan terkait dijelaskan berbasis DNS. 1516

Dua temuan tersebut memiliki mekanisme berbeda:

Temuan	Jalur komunikasi	Konsekuensi keamanan
Masalah kanal keluar sebelumnya	Jalur dari runtime ke internet publik	Konten sensitif dapat dikirim keluar dari lingkungan. 1516
Masalah kanal rahasia Artifactory	State dinamis bersama dalam layanan paket internal	Akun yang berbeda dapat bertukar tugas dan hasil meski sandbox secara nominal terisolasi. 6

Pelajaran yang sama: memblokir internet langsung hanyalah satu lapisan pengamanan. Sistem yang dapat dipengaruhi prompt dapat menyalahgunakan mekanisme apa pun yang dapat membawa informasi ke luar—atau menyamping, antarpengguna dan antarpenyewa.

Kaitannya dengan insiden Hugging Face

Kanal Artifactory yang dijelaskan Check Point bukan eksploit yang sama dengan insiden terpisah yang melibatkan agen evaluasi OpenAI dan Hugging Face. Namun, pemberitaan menghubungkan keduanya melalui peran yang lebih luas dari infrastruktur terkait Artifactory sebagai layanan yang dapat dijangkau dari lingkungan terbatas. 5

Laporan insiden OpenAI mencatat mitigasi yang mencakup pemblokiran jalur Artifactory rentan yang relevan serta pembatasan jenis beban kerja riset terkait. 22 Kedua peristiwa itu tidak boleh disamakan sebagai satu eksploit, tetapi keduanya menggarisbawahi risiko menganggap repositori paket bersama sekadar infrastruktur pendukung yang tidak berbahaya.

Kelemahan arsitektural: isolasi harus mencakup dependensi

Batas sandbox hanya sekuat layanan yang dapat dijangkau dari dalamnya. Jika banyak penyewa dapat membaca atau mengubah cache, registri, antrean, penyimpanan metadata, layanan DNS, atau endpoint berbasis identitas yang sama, dependensi tersebut dapat menjadi kanal rahasia.

Bagi sistem AI yang bisa mengikuti instruksi tidak tepercaya dan memanggil alat terhubung, sejumlah prioritas pertahanan menjadi jelas:

• Batasi setiap sumber daya yang dapat ditulisi per penyewa. Runtime satu akun tidak boleh dapat menulis state yang bisa dibaca akun lain.
• Terapkan identitas layanan dengan hak akses minimum. Beban kerja pengambil paket tidak semestinya otomatis memiliki kemampuan luas untuk mengelola metadata.
• Perlakukan layanan internal sebagai batas jaringan. Status “internal” tidak berarti aman bila beban kerja tidak tepercaya dapat mengaksesnya.
• Pisahkan otorisasi alat dari instruksi percakapan. Tindakan sensitif pada aplikasi terhubung membutuhkan batas otorisasi yang jelas dan dapat ditinjau.
• Buat tindakan penting mudah diamati. Log dan pemberitahuan kepada pengguna perlu menjelaskan tindakan alat serta cakupannya, bukan hanya memberi tanda bahwa sebuah aplikasi dihubungi.

Pembuktian konsep Check Point pada akhirnya bukan semata soal satu cache paket. Temuan itu menegaskan aturan desain yang lebih besar: isolasi harus melindungi jalur data dan state bersama, bukan hanya soket jaringan langsung. 615