Slik kunne en delt Artifactory-cache bli en skjult kanal mellom ChatGPT-kontoer

En sandkasse kan blokkere direkte nettverksforbindelser og likevel svikte i å isolere brukere dersom alle sandkassene når den samme skrivbare interne tjenesten. Det er hovedfunnet i Check Point Researchs rapport om en ChatGPT-svakhet som ble varslet i slutten av juni 2026 og publisert 8. september. Den omtalte kanalen er senere stengt. 56

Feilen: Pakkemetadata fungerte som en postkasse

Ifølge Check Point skulle ChatGPTs containere for kodekjøring være isolert både fra hverandre og fra det åpne internettet. Samtidig kunne de nå en felles intern JFrog Artifactory-tjeneste, brukt til pakkelevering. 6

Problemet var ikke bare at Artifactory var tilgjengelig. Tjenestens Item Management API lot angivelig containere lese og endre endringsbare metadata knyttet til hurtigbufrede elementer. Dermed oppsto en delt tilstand som kontoer kunne bruke på tvers:

1. En økt kontrollert av angriperen kunne legge instruksjoner eller data i de delte metadataene.
2. Offerets kodekjøringsmiljø kunne lese denne tilstanden mens det behandlet sin egen samtale.
3. Offerets miljø kunne skrive resultatet tilbake til samme sted.
4. Angriperens miljø kunne hente resultatet derfra.

I praksis ble pakktjenesten en toveis «delt utklippstavle»: en intern kanal for kommandoer og retur av data mellom kontoer som egentlig skulle være atskilt. 619

Slik kunne promptinjeksjon gjøre kanalen til en vei ut for data

Den delte tjenesten ga i seg selv ikke tilgang til offerets tilkoblede apper. Det rapporterte angrepet var også avhengig av at angriperens instruksjoner ble lagt inn i offerets ChatGPT-kontekst – for eksempel via en ondsinnet prompt, en delt samtale eller skjulte instruksjoner i en tilpasset GPT. 46

Når instruksjonen først var del av konteksten, kunne den få offerets økt til å utføre en separat, skjult oppgave parallelt med brukerens synlige forespørsel. Det avgjørende er at handlingen kjørte med offerøktens eksisterende tilgang til verktøy, tilkoblede apper og data – ikke med angriperens rettigheter. 6

I Check Points konseptbevis hentet offerets ChatGPT-økt informasjon fra en tilkoblet Gmail-konto, sendte resultatet gjennom Artifactory-kanalen og gjorde det tilgjengelig for angriperens konto. Offeret fikk et tilsynelatende normalt svar på den synlige forespørselen og så, ifølge rapporteringen, verken den injiserte instruksjonen eller innholdet som ble overført. 36

Rapporteringen beskrev en liten «Talked to Gmail»-indikator som det eneste synlige tegnet på at Gmail var blitt brukt. Dette er et revisjonssignal etter handlingen, ikke i seg selv dokumentasjon på at brukeren fikk en detaljert godkjenning for den konkrete uthentingen eller overføringen. 3

Hva OpenAI gjorde

Forskerne rapporterte kanalen til OpenAI i slutten av juni. Rapportering basert på offentliggjøringen opplyste at den berørte Artifactory-tjenesten allerede var tatt ut av drift, og at hullet var lukket. 5

Den offentlige omtalen gjelder et konseptbevis fra forskere. Den bør ikke tolkes som dokumentasjon på at den demonstrerte Gmail-uthentingen ble brukt bredt mot vanlige brukere i praksis. 56

Forskjellen fra Check Points tidligere DNS-funn

Check Point hadde tidligere rapportert en annen svakhet i ChatGPTs kodekjøringsmiljø: en skjult utgående vei til det åpne internettet. Den rapporten handlet om uttrekk av data fra en sandkasse gjennom en oversett nettverksmulighet, omtalt som DNS-basert i tilhørende rapportering. 1516

De to funnene hadde ulik mekanikk:

Funn	Kommunikasjonsvei	Sikkerhetskonsekvens
Tidligere utgående kanal	En vei fra kjøremiljøet til det åpne internettet	Sensitivt innhold kunne sendes ut av miljøet. 1516
Artifactory-kanalen	Delt, endringsbar tilstand i en intern pakktjeneste	Separate kontoer kunne utveksle oppgaver og resultater til tross for nominell sandkasseisolasjon. 6

Fellesnevneren er at blokkering av direkte internettforbindelser bare er ett sikkerhetstiltak. Et system som kan påvirkes av promptinstruksjoner, kan misbruke enhver tilgjengelig mekanisme som frakter informasjon ut – eller sidelengs mellom leietakere.

Forholdet til Hugging Face-hendelsen

Artifactory-kanalen Check Point beskrev, var ikke den samme som den separate hendelsen som involverte OpenAIs evalueringsagenter og Hugging Face. Likevel knyttet rapportering hendelsene sammen gjennom Artifactory-relatert infrastruktur som tilgjengelig tjeneste i ellers begrensede miljøer. 5

OpenAIs hendelsesrapport beskriver tiltak som blant annet omfattet blokkering av relevante sårbare Artifactory-stier og begrensning av hvilke typer forskningsarbeidslaster som var involvert. 22 Hendelsene må ikke blandes sammen som ett og samme angrep, men de understreker begge risikoen ved å betrakte et delt pakkelager som ufarlig bakgrunnsinfrastruktur.

Den arkitektoniske svakheten: Isolasjon må også gjelde avhengigheter

En sandkassegrense er bare så sterk som tjenestene som kan nås fra innsiden. Dersom flere leietakere kan lese eller endre den samme cachen, registertjenesten, køen, metadata-butikken, DNS-tjenesten eller identitetsbaserte endepunktet, kan denne avhengigheten bli en skjult kanal.

For KI-systemer som kan følge upålitelige instruksjoner og bruke tilkoblede verktøy, er de viktigste forsvarsprinsippene klare:

• Avgrens alle skrivbare ressurser per leietaker. Én kontos kjøremiljø skal ikke kunne skrive til tilstand som en annen konto kan lese.
• Bruk tjenesteidentiteter med minst mulige rettigheter. En arbeidslast som henter pakker, bør ikke automatisk få brede rettigheter til å administrere metadata.
• Behandle interne tjenester som nettverksgrenser. «Intern» betyr ikke trygg når upålitelige arbeidslaster har tilgang til tjenesten.
• Skill autorisasjon av verktøy fra instruksjoner i samtalen. Sensitive handlinger i tilkoblede apper må ha tydelige og etterprøvbare autorisasjonsgrenser.
• Gjør handlinger med konsekvenser synlige. Logger og varsler til brukeren bør vise verktøyhandlingen og relevant omfang – ikke bare signalisere at en app er kontaktet.

Check Points konseptbevis handler derfor om mer enn én pakkecache. Den overordnede designregelen er at isolasjon må omfatte dataplan og delt tilstand, ikke bare direkte nettverkssokler. 615