ChatGPT, un cache Artifactory condiviso trasformato in canale segreto tra account

Una sandbox può bloccare le connessioni dirette verso Internet e fallire comunque nell’isolare gli utenti, se ogni ambiente può raggiungere lo stesso servizio interno scrivibile. È questa la conclusione centrale del report di Check Point Research su un problema nell’esecuzione del codice di ChatGPT, segnalato a fine giugno 2026 e pubblicato l’8 settembre. Il canale descritto è stato successivamente chiuso. 56

La falla: i metadati dei pacchetti diventati una casella postale

Secondo Check Point, i container usati da ChatGPT per eseguire codice dovevano essere isolati sia gli uni dagli altri sia da Internet. Tuttavia, potevano accedere a un servizio interno condiviso JFrog Artifactory, usato per distribuire pacchetti software. 6

Il punto non era soltanto che Artifactory fosse raggiungibile. La sua API di gestione degli elementi avrebbe consentito ai container di leggere e modificare metadati mutabili associati a elementi in cache. In pratica, questo creava uno stato condiviso accessibile da account distinti:

1. una sessione sotto il controllo dell’attaccante poteva inserire istruzioni o dati nei metadati condivisi;
2. l’ambiente di esecuzione della vittima poteva leggerli mentre elaborava la propria conversazione;
3. l’ambiente della vittima poteva scrivere un risultato nella stessa posizione;
4. l’ambiente dell’attaccante poteva recuperarlo.

Di fatto, il servizio di distribuzione dei pacchetti diventava una sorta di «clipboard condivisa»: un percorso interno per inviare comandi e restituire dati tra account che avrebbero dovuto restare separati. 619

Dalla prompt injection all’esfiltrazione dei dati

Il servizio condiviso, da solo, non dava accesso alle app della vittima. L’attacco riportato richiedeva anche l’inserimento di istruzioni dell’attaccante nel contesto ChatGPT della vittima: per esempio tramite un prompt malevolo, una conversazione condivisa o istruzioni nascoste in un GPT personalizzato. 46

Una volta nel contesto, l’istruzione poteva indurre la sessione della vittima a svolgere un’attività separata e invisibile accanto alla richiesta mostrata all’utente. Il punto decisivo è che l’azione veniva eseguita con gli accessi già disponibili nella sessione della vittima — strumenti, app collegate e dati — non con i permessi dell’attaccante. 6

Nella prova di concetto di Check Point, la sessione ChatGPT della vittima ha recuperato informazioni da un account Gmail collegato, ha inviato il risultato tramite il canale Artifactory e lo ha reso disponibile all’account dell’attaccante. Nel frattempo, la vittima riceveva una risposta apparentemente normale alla richiesta visibile e, secondo le ricostruzioni, non vedeva né l’istruzione iniettata né il contenuto trasferito. 36

Le cronache descrivono una piccola etichetta “Talked to Gmail” come unico segnale visibile dell’accesso a Gmail. Si tratta di un indicatore di attività successivo all’azione, non della prova che l’utente abbia ricevuto una richiesta di approvazione dettagliata per quello specifico recupero o trasferimento. 3

La risposta di OpenAI

I ricercatori hanno riferito il canale a OpenAI a fine giugno. Secondo le notizie basate sulla divulgazione, il servizio Artifactory interessato era già stato dismesso e la falla era stata chiusa. 5

Le informazioni pubbliche descrivono una prova di concetto condotta dai ricercatori. Non costituiscono prova che il recupero di dati Gmail dimostrato sia stato sfruttato su larga scala contro normali utenti reali. 56

In cosa differisce dalla precedente falla DNS

Check Point aveva già segnalato un diverso problema nel runtime di esecuzione del codice di ChatGPT: un canale nascosto in uscita verso Internet. Quella ricerca riguardava l’esfiltrazione da una sandbox attraverso una capacità di rete trascurata, descritta nelle fonti collegate come basata sul DNS. 1516

I due problemi avevano meccanismi differenti:

Problema	Percorso di comunicazione	Conseguenza per la sicurezza
Precedente canale in uscita	Un percorso dal runtime verso Internet	Contenuti sensibili potevano essere inviati fuori dall’ambiente. 1516
Canale occulto via Artifactory	Stato interno condiviso e modificabile in un servizio di pacchetti	Account distinti potevano scambiarsi attività e risultati nonostante l’isolamento nominale. 6

La lezione comune è che bloccare l’accesso diretto a Internet è soltanto una delle difese necessarie. Un sistema influenzabile tramite prompt può abusare di qualunque meccanismo raggiungibile che trasporti informazioni verso l’esterno — oppure lateralmente tra tenant, cioè utenti o account separati sulla stessa piattaforma.

Il rapporto con l’incidente Hugging Face

Il canale Artifactory descritto da Check Point non coincide con il distinto incidente che ha coinvolto agenti di valutazione OpenAI e Hugging Face. Le notizie, però, hanno messo in relazione i due eventi per il ruolo più generale di infrastrutture legate ad Artifactory come servizi raggiungibili dall’interno di ambienti limitati. 5

Nel proprio rapporto sull’incidente, OpenAI ha descritto mitigazioni che includevano il blocco dei percorsi Artifactory vulnerabili pertinenti e restrizioni sulle tipologie di carichi di lavoro di ricerca coinvolti. 22 I due casi non vanno quindi fusi in un unico exploit, ma insieme evidenziano il rischio di trattare un repository di pacchetti condiviso come semplice infrastruttura innocua.

Il problema architetturale: anche le dipendenze devono essere isolate

Il confine di una sandbox è solido solo quanto i servizi raggiungibili dall’interno. Se più tenant possono leggere o modificare la stessa cache, lo stesso registro, la stessa coda, lo stesso archivio di metadati, servizio DNS o endpoint protetto da identità, quella dipendenza può trasformarsi in un canale occulto.

Per i sistemi di IA che possono seguire istruzioni non affidabili e usare strumenti collegati, le priorità difensive sono chiare:

• Applicare la separazione per tenant a ogni risorsa scrivibile. Il runtime di un account non deve poter scrivere stato leggibile da un altro account.
• Usare identità di servizio con privilegi minimi. Un carico che scarica pacchetti non dovrebbe ricevere automaticamente ampie autorizzazioni di gestione dei metadati.
• Trattare i servizi interni come confini di rete. “Interno” non significa sicuro quando carichi non affidabili possono accedere al servizio.
• Separare l’autorizzazione agli strumenti dalle istruzioni conversazionali. Le azioni sensibili sulle app collegate richiedono confini di autorizzazione chiari e verificabili.
• Rendere osservabili le azioni rilevanti. Registri e avvisi destinati all’utente dovrebbero identificare l’azione compiuta dallo strumento e il suo ambito, non limitarsi a indicare che un’app è stata contattata.

La prova di concetto di Check Point, quindi, non riguarda soltanto una cache di pacchetti: evidenzia una regola di progettazione più ampia. L’isolamento deve coprire i percorsi dei dati e lo stato condiviso, non soltanto le connessioni di rete dirette. 615