Cache Artifactory Dikongsi Jadi Saluran Rahsia Antara Akaun ChatGPT

Sandbox boleh menyekat sambungan rangkaian terus, namun masih gagal mengasingkan pengguna jika setiap sandbox boleh mencapai perkhidmatan dalaman bersama yang boleh ditulis. Itulah dapatan utama laporan Check Point Research mengenai isu pelaksanaan kod ChatGPT yang didedahkan pada penghujung Jun 2026 dan diterbitkan pada 8 September. Saluran yang dilaporkan itu kemudiannya telah ditutup. 56

Puncanya: metadata pakej menjadi peti mel bersama

Menurut Check Point, kontena pelaksanaan kod ChatGPT sepatutnya diasingkan antara satu sama lain dan daripada internet awam. Namun, kontena ini boleh mengakses perkhidmatan dalaman JFrog Artifactory yang dikongsi untuk penghantaran pakej. 6

Masalahnya bukan sekadar Artifactory boleh dicapai. API Item Management perkhidmatan itu dilaporkan membenarkan kontena membaca serta mengubah metadata boleh ubah yang berkait dengan item dalam cache. Ini mewujudkan keadaan bersama yang boleh dicapai merentas akaun:

1. Sesi yang dikawal penyerang boleh menyimpan arahan atau data dalam metadata tersebut.
2. Persekitaran pelaksanaan kod mangsa boleh membaca keadaan itu ketika memproses perbualannya sendiri.
3. Persekitaran mangsa boleh menulis hasil semula ke lokasi bersama yang sama.
4. Persekitaran penyerang boleh mendapatkan semula hasil itu.

Secara praktikal, perkhidmatan pakej itu bertukar menjadi “papan klip bersama” dua hala: laluan dalaman untuk kawalan arahan dan pemulangan data antara akaun yang sepatutnya terasing. 619

Bagaimana suntikan arahan menjadikannya laluan keluar data

Perkhidmatan bersama itu sahaja tidak memberi akses kepada aplikasi mangsa. Serangan yang dilaporkan juga memerlukan arahan penyerang dimasukkan ke dalam konteks ChatGPT mangsa — misalnya melalui prompt berniat jahat, perbualan yang dikongsi, atau arahan tersembunyi dalam GPT tersuai. 46

Selepas arahan itu berada dalam konteks, ia boleh menyebabkan sesi mangsa melaksanakan tugasan lain secara tersembunyi, serentak dengan permintaan biasa pengguna. Perbezaan pentingnya: tindakan itu berjalan menggunakan akses sedia ada sesi mangsa kepada alat, aplikasi yang disambungkan dan data — bukannya menggunakan kebenaran penyerang. 6

Dalam bukti konsep Check Point, sesi ChatGPT mangsa mendapatkan maklumat daripada akaun Gmail yang disambungkan, menghantar hasilnya melalui saluran Artifactory, lalu menjadikannya tersedia kepada akaun penyerang. Mangsa pula menerima jawapan yang kelihatan biasa untuk permintaan asalnya dan, menurut laporan, tidak melihat arahan yang disuntik atau kandungan yang dipindahkan. 36

Laporan menyatakan label kecil “Talked to Gmail” ialah satu-satunya petanda jelas bahawa Gmail telah diakses. Ia merupakan isyarat audit selepas tindakan berlaku, bukan bukti bahawa pengguna menerima permintaan kelulusan terperinci bagi pengambilan atau pemindahan data tertentu. 3

Tindakan OpenAI

Penyelidik melaporkan saluran itu kepada OpenAI pada penghujung Jun. Laporan berdasarkan pendedahan tersebut menyatakan perkhidmatan Artifactory yang terjejas sudah dinyahaktifkan dan kelemahan itu telah ditutup. 5

Laporan awam ini merujuk kepada bukti konsep penyelidikan. Ia tidak sepatutnya ditafsirkan sebagai bukti bahawa pengambilan data Gmail yang ditunjukkan berlaku secara meluas terhadap pengguna biasa di dunia sebenar. 56

Bezanya dengan penemuan DNS Check Point sebelum ini

Sebelum ini, Check Point melaporkan kelemahan lain dalam runtime pelaksanaan kod ChatGPT: satu laluan keluar tersembunyi ke internet awam. Laporan tersebut menumpukan kebocoran data dari sandbox menerusi keupayaan rangkaian yang terlepas pandang, yang dihuraikan sebagai berasaskan DNS dalam laporan berkaitan. 1516

Dua penemuan itu mempunyai mekanisme berbeza:

Penemuan	Laluan komunikasi	Kesan keselamatan
Isu saluran keluar terdahulu	Laluan dari runtime ke internet awam	Kandungan sensitif boleh dihantar keluar daripada persekitaran. 1516
Isu saluran rahsia Artifactory	Keadaan boleh ubah dalam perkhidmatan pakej dalaman bersama	Akaun berasingan boleh bertukar tugasan dan hasil walaupun sandbox secara nominal diasingkan. 6

Pengajaran bersama daripada kedua-duanya: menyekat internet terus hanyalah satu kawalan. Sistem yang boleh dipengaruhi prompt boleh menyalahgunakan apa-apa mekanisme boleh dicapai yang membawa maklumat keluar — atau secara mendatar antara penyewa.

Kaitannya dengan insiden Hugging Face

Saluran Artifactory yang dihuraikan Check Point bukan eksploit yang sama dengan insiden berasingan melibatkan ejen penilaian OpenAI dan Hugging Face. Namun, laporan mengaitkan kedua-dua peristiwa melalui peranan lebih luas infrastruktur berkaitan Artifactory sebagai perkhidmatan yang boleh dicapai dalam persekitaran terhad. 5

Laporan insiden OpenAI menyatakan langkah mitigasi termasuk menyekat laluan Artifactory terdedah yang berkaitan dan mengehadkan jenis beban kerja penyelidikan yang terlibat. 22 Kedua-dua insiden tidak wajar disatukan sebagai satu eksploit, tetapi bersama-sama ia menekankan risiko menganggap repositori pakej bersama sebagai infrastruktur sokongan yang tidak berbahaya.

Kelemahan seni bina: pengasingan mesti meliputi dependensi

Sempadan sandbox hanya sekuat perkhidmatan yang boleh dicapai dari dalamnya. Jika berbilang penyewa boleh membaca atau mengubah cache, registri, baris gilir, stor metadata, perkhidmatan DNS atau titik akhir berasaskan identiti yang sama, dependensi itu boleh menjadi saluran rahsia.

Bagi sistem AI yang boleh mengikut arahan tidak dipercayai dan menggunakan alat yang disambungkan, keutamaan pertahanan adalah jelas:

• Hadkan setiap sumber boleh tulis mengikut penyewa. Runtime satu akaun tidak sepatutnya boleh menulis keadaan yang boleh dibaca akaun lain.
• Gunakan identiti perkhidmatan dengan keistimewaan minimum. Beban kerja yang hanya mengambil pakej tidak seharusnya menerima keupayaan pengurusan metadata yang luas secara automatik.
• Anggap perkhidmatan dalaman sebagai sempadan rangkaian. “Dalaman” bukan bererti selamat apabila beban kerja tidak dipercayai boleh mengaksesnya.
• Pisahkan kebenaran alat daripada arahan perbualan. Tindakan sensitif pada aplikasi tersambung memerlukan sempadan kebenaran yang jelas serta boleh disemak.
• Jadikan tindakan berimpak boleh diperhatikan. Log dan notis kepada pengguna perlu mengenal pasti tindakan alat serta skop berkaitannya, bukan sekadar memaklumkan bahawa sesebuah aplikasi telah dihubungi.

Bukti konsep Check Point ini bukan sekadar isu satu cache pakej. Ia menggariskan prinsip reka bentuk yang lebih besar: pengasingan mesti meliputi laluan data dan keadaan bersama, bukan hanya soket rangkaian terus. 615