Un fallo de ChatGPT permitía que una pregunta manipulada enviara los datos de Gmail de una víctima a otra cuenta

Un re­por­te de Check Point Re­search re­ve­ló que una ins­truc­ción ocul­ta en una con­ver­sa­ción de ChatGPT puede obli­gar al sis­te­ma a rea­li­zar ta­reas ma­li­cio­sas en se­gun­do plano mien­tras res­pon­de de ma­ne­ra nor­mal al usua­rio. En su de­mos­tra­ción, esta ac­ción per­mi­tió ex­traer in­for­ma­ción de la cuen­ta de Gmail del usua­rio y en­viar­la a otra cuen­ta de ChatGPT me­dian­te un canal en­cu­bier­to, pu­dien­do co­piar tam­bién his­to­ria­les de chat y ar­chi­vos según los per­mi­sos y he­rra­mien­tas dis­po­ni­bles en la se­sión.

Para lo­grar esto, la orden ma­li­cio­sa debía in­tro­du­cir­se pre­via­men­te a tra­vés de un texto pe­ga­do por el usua­rio, una con­ver­sa­ción com­par­ti­da o un GPT per­so­na­li­za­do, y luego bas­ta­ba con un men­sa­je or­di­na­rio para ac­ti­var­la. Gra­cias al modo de ra­zo­na­mien­to, la he­rra­mien­ta eje­cu­ta­ba dos ta­reas si­mul­tá­nea­men­te en el mismo turno: res­pon­der al usua­rio de forma vi­si­ble y, de ma­ne­ra ocul­ta, re­vi­sar un buzón del ata­can­te, eje­cu­tar la tarea con los per­mi­sos pre­de­ter­mi­na­dos de las apli­ca­cio­nes co­nec­ta­das sin pedir au­to­ri­za­ción pre­via y re­tor­nar el re­sul­ta­do, de­jan­do como único aviso un pe­que­ño in­di­ca­dor sobre la res­pues­ta.

El canal de co­mu­ni­ca­ción fun­cio­nó a tra­vés de un ser­vi­cio in­terno de con­te­ne­do­res que uti­li­za­ba ChatGPT para ins­ta­lar pa­que­tes, el cual per­mi­tía ad­jun­tar pro­pie­da­des a ar­chi­vos al­ma­ce­na­dos y leer­las desde otros en­tor­nos. De­bi­do a que estas pro­pie­da­des no es­ta­ban se­pa­ra­das por cuen­tas, los ata­can­tes pu­die­ron uti­li­zar­las como un por­ta­pa­pe­les com­par­ti­do para trans­fe­rir datos entre con­te­ne­do­res que de­bían per­ma­ne­cer ais­la­dos.

Check Point no­ti­fi­có el ha­llaz­go a Ope­nAI, en­ti­dad que con­fir­mó la des­ac­ti­va­ción del ser­vi­cio in­terno im­pli­ca­do sin re­que­rir nin­gu­na ac­tua­li­za­ción por parte de los usua­rios. Esta in­ves­ti­ga­ción re­pre­sen­ta el se­gun­do canal re­por­ta­do desde la misma sec­ción de ChatGPT, di­fe­ren­cián­do­se de un in­ci­den­te pre­vio re­la­cio­na­do con DNS y de un caso eva­lua­do en prue­bas de se­gu­ri­dad in­ter­nas de la com­pa­ñía.