Delad Artifactory-cache blev dold kanal mellan ChatGPT-konton

En sandbox kan blockera direkta nätverksanslutningar och ändå misslyckas med att hålla användare åtskilda, om varje sandbox når samma interna tjänst där data kan skrivas. Det är kärnan i Check Point Researchs rapport om ett problem i ChatGPT:s kodkörningsmiljö, som rapporterades till OpenAI i slutet av juni 2026 och publicerades den 8 september. Den beskrivna kanalen har därefter stängts. 56

Felet: paketmetadata fungerade som en brevlåda

Enligt Check Point var ChatGPT:s containrar för kodkörning avsedda att vara isolerade både från varandra och från det publika internet. Containrarna kunde dock nå en gemensam intern JFrog Artifactory-tjänst för paketleverans. 6

Det avgörande var inte enbart att Artifactory var åtkomligt. Tjänstens Item Management API ska ha gjort det möjligt för containrarna att läsa och ändra föränderlig metadata kopplad till cachade objekt. Därmed uppstod ett delat tillstånd som kunde nås från olika konton:

1. En session under angriparens kontroll kunde lägga instruktioner eller data i den delade metadatan.
2. Offrets kodkörningsmiljö kunde läsa informationen när den behandlade sin egen konversation.
3. Offrets miljö kunde skriva tillbaka ett resultat till samma delade plats.
4. Angriparens miljö kunde sedan hämta resultatet.

I praktiken blev pakettjänsten ett dubbelriktat, delat urklipp: en intern kanal för kommandon och återföring av data mellan konton som egentligen skulle vara isolerade från varandra. 619

Så kunde promptinjektion göra kanalen till en väg för dataläckage

Den delade tjänsten gav i sig inte åtkomst till offrets anslutna appar. Den rapporterade attacken förutsatte också att angriparens instruktioner hamnade i offrets ChatGPT-kontext, exempelvis genom en skadlig prompt, en delad konversation eller dolda instruktioner i en anpassad GPT. 46

När instruktionen väl fanns i kontexten kunde offrets session utföra en separat, dold uppgift parallellt med användarens synliga fråga. Den viktiga skillnaden är att handlingen utfördes med offrets befintliga åtkomst till verktyg, anslutna appar och data – inte med angriparens behörigheter. 6

I Check Points proof of concept hämtade offrets ChatGPT-session information från ett anslutet Gmail-konto, skickade resultatet via Artifactory-kanalen och gjorde det tillgängligt för angriparens konto. Offret fick samtidigt ett normalt utseende svar på sin synliga begäran och såg enligt rapporteringen varken den injicerade instruktionen eller det överförda innehållet. 36

Rapporteringen beskriver en liten markering, ”Talked to Gmail”, som det enda synliga tecknet på att Gmail hade använts. Det är en signal i efterhand om att en åtgärd redan skett – inte i sig belägg för att användaren fick ett detaljerat godkännande för just hämtningen eller överföringen. 3

OpenAI:s åtgärd

Forskarna rapporterade kanalen till OpenAI i slutet av juni. Enligt rapportering baserad på avslöjandet hade den berörda Artifactory-tjänsten redan avvecklats och sårbarheten stängts. 5

Det offentliga underlaget beskriver ett forskningsbaserat proof of concept. Det ska inte tolkas som belägg för att den demonstrerade Gmail-hämtningen har drabbat vanliga användare brett i verkliga attacker. 56

Skillnaden mot Check Points tidigare DNS-fynd

Check Point hade tidigare rapporterat en annan svaghet i ChatGPT:s kodkörningsmiljö: en dold utgående väg till det publika internet. Den rapporten handlade om exfiltrering från en sandbox via en förbisedd nätverksfunktion, som i den tillhörande rapporteringen beskrivs som DNS-baserad. 1516

De två fynden hade olika mekanismer:

Fynd	Kommunikationsväg	Säkerhetskonsekvens
Tidigare problem med utgående kanal	En väg från körmiljön till det publika internet	Känsligt innehåll kunde skickas ut ur miljön. 1516
Artifactory-kanalen	Delat, föränderligt tillstånd i en intern pakettjänst	Separata konton kunde utbyta uppgifter och resultat trots den nominella sandbox-isoleringen. 6

Den gemensamma lärdomen är att blockering av direkt internetåtkomst bara är ett skydd bland flera. Ett system som kan påverkas av opålitliga instruktioner kan missbruka varje nåbar mekanism som för information utåt – eller sidledes mellan olika användare.

Kopplingen till Hugging Face-incidenten

Artifactory-kanalen som Check Point beskriver var inte samma exploit som den separata incidenten med OpenAI:s utvärderingsagenter och Hugging Face. Rapporteringen kopplade dock ihop händelserna genom Artifactory-relaterad infrastruktur som nåbar tjänst i begränsade miljöer. 5

OpenAI:s incidentrapport beskriver motåtgärder som bland annat omfattade att blockera relevanta sårbara Artifactory-vägar och begränsa berörda typer av forskningsarbetslaster. 22 Incidenterna bör inte blandas ihop till en enda attack, men tillsammans understryker de risken med att betrakta ett delat paketarkiv som ofarlig bakgrundsinfrastruktur.

Den arkitektoniska svagheten: isolering måste omfatta beroenden

En sandboxgräns är inte starkare än de tjänster som går att nå från insidan. Om flera användare kan läsa eller ändra samma cache, register, kö, metadatalager, DNS-tjänst eller identitetskopplade endpoint kan det beroendet bli en dold kommunikationskanal.

För AI-system som kan följa opålitliga instruktioner och använda anslutna verktyg är prioriteringarna tydliga:

• Avgränsa varje skrivbar resurs per användare eller kund. En körmiljö för ett konto ska inte kunna skriva till ett tillstånd som en annan kan läsa.
• Tillämpa minsta möjliga behörighet för tjänsteidentiteter. Ett arbetsflöde som hämtar paket ska inte automatiskt ha breda rättigheter att hantera metadata.
• Behandla interna tjänster som nätverksgränser. ”Internt” betyder inte säkert när opålitliga arbetslaster når tjänsten.
• Separera behörighet till verktyg från instruktioner i konversationen. Känsliga åtgärder i anslutna appar behöver tydliga och granskbara auktoriseringsgränser.
• Gör betydelsefulla åtgärder observerbara. Loggar och användarnotiser bör visa verktygsåtgärden och dess relevanta omfattning, inte bara att en app har kontaktats.

Check Points proof of concept handlar därför om mer än en enskild paketcache. Den övergripande designregeln är att isolering måste täcka datapathar och delat tillstånd – inte bara direkta nätverkssocketar. 615