Як спільний кеш Artifactory став прихованим каналом між акаунтами ChatGPT

Пісочниця може блокувати прямі мережеві з’єднання — і все одно не ізолювати користувачів належним чином, якщо кожне середовище має доступ до одного спільного внутрішнього сервісу із можливістю запису. Саме такий висновок випливає зі звіту Check Point Research про проблему у виконанні коду ChatGPT, розкриту наприкінці червня 2026 року та опубліковану 8 вересня. За повідомленнями, канал уже закрито. 56

Метадані пакетів як спільна «поштова скринька»

За даними Check Point, контейнери ChatGPT для виконання коду мали бути ізольованими і один від одного, і від публічного інтернету. Водночас вони могли звертатися до спільного внутрішнього сервісу JFrog Artifactory, який використовувався для доставки пакетів. 6

Проблема полягала не лише в досяжності Artifactory. Його API керування елементами, як повідомляється, дозволяв контейнерам читати та змінювати змінювані метадані кешованих об’єктів. Так виникав спільний стан, доступний різним акаунтам:

1. Сеанс, контрольований атакувальником, міг записати інструкції або дані до цих метаданих.
2. Середовище виконання коду жертви могло прочитати цей стан під час обробки власного діалогу.
3. Середовище жертви могло записати результат у те саме спільне місце.
4. Середовище атакувальника могло забрати цей результат.

Фактично сервіс пакетів перетворився на двосторонній «спільний буфер обміну» — внутрішній канал керування та повернення даних між акаунтами, які мали бути розділені. 619

Як ін’єкція промпту робила цей канал шляхом витоку даних

Сам доступ до спільного сервісу не давав атакувальнику доступу до підключених застосунків жертви. Для описаної атаки потрібно було також помістити інструкцію атакувальника в контекст ChatGPT жертви — наприклад, через шкідливий промпт, спільну розмову або приховані інструкції в кастомному GPT. 46

Опинившись у контексті, така інструкція могла спонукати сеанс жертви виконувати окреме приховане завдання паралельно з видимим запитом користувача. Ключова відмінність: дія виконувалася з уже наявними у сеансу жертви правами доступу до інструментів, підключених застосунків і даних, а не з правами атакувальника. 6

У proof of concept від Check Point сеанс ChatGPT жертви отримав дані з підключеного Gmail, передав результат через канал Artifactory і зробив його доступним акаунту атакувальника. Користувач при цьому отримував звичайну на вигляд відповідь на свій видимий запит і, згідно з повідомленнями, не бачив ані впровадженої інструкції, ані переданого вмісту. 36

У публікаціях згадано невелику позначку «Talked to Gmail» як єдину видиму ознаку звернення до Gmail. Це сигнал аудиту вже після дії, а не саме по собі підтвердження того, що користувач отримав окремий детальний запит на схвалення конкретного читання чи передавання даних. 3

Що зробила OpenAI

Дослідники повідомили OpenAI про канал наприкінці червня. За даними публікацій, які посилаються на розкриття, уражений сервіс Artifactory на той момент уже було виведено з експлуатації, а проблему закрито. 5

Описаний випадок є дослідницьким proof of concept. Його не слід тлумачити як доказ масового викрадення даних Gmail у звичайних користувачів у реальних атаках. 56

Чим це відрізняється від попередньої знахідки з DNS

Раніше Check Point повідомляла про іншу слабкість у середовищі виконання коду ChatGPT: прихований вихідний шлях до публічного інтернету. Та знахідка стосувалася виведення даних із пісочниці через непомічену мережеву можливість, яку в пов’язаних матеріалах описували як DNS-канал. 1516

Механіка двох проблем була різною:

Знахідка	Шлях передавання	Наслідок для безпеки
Попередня проблема з вихідним каналом	Шлях із середовища виконання до публічного інтернету	Конфіденційний вміст можна було передати за межі середовища. 1516
Прихований канал через Artifactory	Спільний змінюваний стан у внутрішньому сервісі пакетів	Різні акаунти могли обмінюватися завданнями й результатами попри номінальну ізоляцію пісочниць. 6

Спільний урок: блокування прямого інтернет-доступу — лише один із захисних механізмів. Система, на яку можуть впливати недовірені інструкції, здатна зловживати будь-яким доступним механізмом, що переносить інформацію назовні або між ізольованими орендарями.

Зв’язок з інцидентом Hugging Face

Канал Artifactory, описаний Check Point, не був тим самим експлойтом, що й окремий інцидент за участю оціночних агентів OpenAI та Hugging Face. Утім, публікації пов’язують ці події ширшим питанням: інфраструктура, пов’язана з Artifactory, виявилася досяжним сервісом усередині обмежених середовищ. 5

У технічному звіті OpenAI про інцидент згадано заходи, що включали блокування релевантних вразливих шляхів Artifactory та обмеження типів дослідницьких робочих навантажень. 22 Не варто зводити ці випадки до одного експлойту, але разом вони показують ризик сприймати спільний репозиторій пакетів як нешкідливу технічну деталь.

Головна проблема архітектури: ізоляція має охоплювати залежності

Межа пісочниці настільки надійна, наскільки надійні сервіси, доступні зсередини неї. Якщо кілька орендарів можуть читати або змінювати один кеш, реєстр пакетів, чергу, сховище метаданих, DNS-службу чи кінцеву точку з доступом через ідентичність, така залежність може стати прихованим каналом.

Для ШІ-систем, здатних обробляти недовірені інструкції й викликати підключені інструменти, пріоритети захисту очевидні:

• Розмежовувати всі ресурси з можливістю запису за орендарями. Середовище одного акаунту не повинно записувати стан, який може прочитати інший.
• Застосовувати принцип найменших привілеїв для сервісних ідентичностей. Робоче навантаження, що завантажує пакети, не має автоматично отримувати широкі можливості керування метаданими.
• Вважати внутрішні сервіси мережевими межами. «Внутрішній» не означає «безпечний», якщо до сервісу можуть звертатися недовірені робочі навантаження.
• Відокремлювати авторизацію інструментів від інструкцій у діалозі. Чутливі дії в підключених застосунках потребують чітких і таких, що піддаються перевірці, меж авторизації.
• Робити важливі дії спостережуваними. Журнали та повідомлення для користувача мають називати саму дію інструмента і її релевантний масштаб, а не лише вказувати, що з застосунком був контакт.

Отже, proof of concept від Check Point — не тільки історія про один кеш пакетів. Він ілюструє ширше правило проєктування: ізоляція має охоплювати шляхи даних і спільний стан, а не лише прямі мережеві сокети. 615