Wspólny cache Artifactory stał się ukrytym kanałem między kontami ChatGPT

Sandbox może blokować bezpośredni dostęp do internetu, a mimo to nie zapewniać pełnej izolacji. Wystarczy, że wszystkie środowiska mają dostęp do tej samej wewnętrznej usługi z zapisywalnym stanem. Taki problem opisał Check Point Research w raporcie opublikowanym 8 września 2026 r. Badacze zgłosili go wcześniej, pod koniec czerwca; według doniesień kanał został już zamknięty. 56

Metadane pakietów jako wspólna skrzynka kontaktowa

Kontenery ChatGPT służące do wykonywania kodu miały być odseparowane zarówno od siebie nawzajem, jak i od publicznego internetu. Jednocześnie mogły korzystać ze wspólnej, wewnętrznej instancji JFrog Artifactory — systemu używanego do dostarczania pakietów oprogramowania. 6

Sednem problemu nie był sam dostęp do Artifactory. Według Check Point jego API do zarządzania elementami pozwalało kontenerom odczytywać i modyfikować zmienne metadane obiektów zapisanych w cache'u. Powstawał w ten sposób współdzielony stan dostępny dla różnych kont:

1. sesja kontrolowana przez atakującego mogła zapisać w metadanych polecenie lub dane;
2. środowisko ofiary mogło ten wpis odczytać podczas obsługi własnej rozmowy;
3. następnie mogło zapisać odpowiedź w tym samym miejscu;
4. atakujący mógł ją później odebrać.

W praktyce usługa pakietowa działała jak dwukierunkowy „wspólny schowek”: ukryty kanał przekazywania poleceń i wyników między kontami, które miały pozostawać odizolowane. 619

Jak wstrzyknięcie promptu mogło prowadzić do wycieku danych

Sam współdzielony kanał nie dawał automatycznie dostępu do aplikacji ofiary. Zgłoszony scenariusz wymagał też umieszczenia instrukcji atakującego w kontekście jej ChatGPT — na przykład w złośliwym prompcie, udostępnionej rozmowie albo ukrytych instrukcjach niestandardowego GPT. 46

Gdy taka instrukcja trafiła do kontekstu, sesja ofiary mogła wykonywać dodatkowe, ukryte zadanie równolegle z widoczną prośbą użytkownika. Kluczowe jest to, że działanie odbywało się z wykorzystaniem istniejącego dostępu sesji ofiary do narzędzi, połączonych aplikacji i danych — a nie uprawnień atakującego. 6

W demonstracji Check Point sesja ofiary pobrała informacje z podłączonego konta Gmail, przesłała wynik przez kanał Artifactory, a następnie udostępniła go kontu atakującego. Użytkownik miał przy tym otrzymać zwyczajnie wyglądającą odpowiedź na swoje widoczne pytanie, bez ujawnienia wstrzykniętej instrukcji ani przekazanych danych. 36

W relacjach wskazano mały komunikat „Talked to Gmail” jako jedyny widoczny ślad użycia Gmaila. To sygnał audytowy pojawiający się po działaniu, a nie sam w sobie dowód, że użytkownik otrzymał szczegółowy monit o zatwierdzenie konkretnego odczytu lub transferu danych. 3

Reakcja OpenAI

Badacze przekazali zgłoszenie OpenAI pod koniec czerwca. Z relacji opartych na ujawnieniu wynika, że dotknięta problemem usługa Artifactory była już wycofana z użycia, a luka została zamknięta. 5

Opis dotyczy demonstracji badawczej. Nie należy go traktować jako dowodu, że pokazane pobranie danych z Gmaila było masowo wykorzystywane przeciw zwykłym użytkownikom. 56

Czym różniło się to od wcześniejszego problemu z DNS

Wcześniej Check Point opisał inną słabość środowiska wykonywania kodu ChatGPT: ukrytą drogę wyjścia z sandboxa do publicznego internetu. W powiązanych opisach była ona przedstawiana jako kanał oparty na DNS. 1516

Problem	Droga komunikacji	Konsekwencja bezpieczeństwa
Wcześniejszy ukryty kanał wychodzący	Połączenie ze środowiska uruchomieniowego do publicznego internetu	Wrażliwe dane mogły zostać wysłane poza środowisko. 1516
Kanał przez Artifactory	Współdzielony, modyfikowalny stan w wewnętrznej usłudze pakietowej	Oddzielne konta mogły wymieniać zadania i wyniki mimo deklarowanej izolacji. 6

Mechanizm był więc inny, ale wniosek podobny: zablokowanie zwykłych połączeń internetowych nie wystarczy, jeśli system podatny na wpływ nieufnych instrukcji może wykorzystać dowolną dostępną ścieżkę przenoszenia informacji — na zewnątrz lub między tenantami.

Związek z incydentem Hugging Face

Kanał opisany przez Check Point nie był tym samym co osobny incydent dotyczący agentów ewaluacyjnych OpenAI i Hugging Face. Doniesienia łączyły jednak oba wydarzenia przez szerszy problem: infrastruktura związana z Artifactory była osiągalna z ograniczonych środowisk. 5

W raporcie technicznym OpenAI dotyczącym incydentu Hugging Face wymieniono m.in. zablokowanie istotnych podatnych ścieżek Artifactory oraz ograniczenie typów zaangażowanych obciążeń badawczych. 22 Nie należy zatem utożsamiać tych zdarzeń ani traktować ich jako jednego exploita. Razem pokazują jednak, że współdzielone repozytorium pakietów nie powinno być uznawane za nieistotny, bezpieczny element zaplecza.

Najważniejsza lekcja: izolacja obejmuje także zależności

Granica sandboxa jest tylko tak mocna, jak usługi dostępne z jego wnętrza. Jeżeli wielu tenantów może odczytywać lub modyfikować wspólny cache, rejestr, kolejkę, magazyn metadanych, resolver DNS czy punkt końcowy oparty na tożsamości, taka zależność może stać się ukrytym kanałem komunikacji.

Dla systemów AI, które mogą przetwarzać nieufne instrukcje i uruchamiać połączone narzędzia, oznacza to kilka priorytetów:

• Zakresuj zasoby zapisywalne do pojedynczego tenanta. Środowisko jednego konta nie powinno móc zapisywać stanu dostępnego do odczytu dla innego konta.
• Stosuj zasadę najmniejszych uprawnień. Zadanie pobierające pakiety nie powinno z automatu otrzymywać szerokiego dostępu do zarządzania metadanymi.
• Traktuj usługi wewnętrzne jak granice sieciowe. „Wewnętrzne” nie znaczy bezpieczne, gdy mogą z nich korzystać nieufne obciążenia.
• Oddziel autoryzację narzędzi od instrukcji konwersacyjnych. Wrażliwe działania w podłączonych aplikacjach wymagają jasnych, możliwych do sprawdzenia granic uprawnień.
• Uczyń istotne działania obserwowalnymi. Logi i komunikaty dla użytkownika powinny wskazywać wykonane działanie narzędzia oraz jego zakres, a nie tylko fakt kontaktu z aplikacją.

Ta demonstracja nie jest więc wyłącznie historią o jednym cache'u pakietów. Pokazuje szerszą zasadę projektową: izolacja musi obejmować ścieżki danych i współdzielony stan, nie tylko bezpośrednie połączenia sieciowe. 615