Эксперты по кибербезопасности обнаружили скрытый канал между контейнерами разных аккаунтов ChatGPT в июне 2026 г., который позволял передавать команды и получать данные из подключенных сервисов, исследование было опубликовано 8 сентября 2026 г. на их сайте.
Контейнеры ChatGPT не имели прямого доступа в интернет и не могли напрямую обращаться друг к другу. Однако они использовали общий внутренний JFrog Artifactory для загрузки зависимостей. Операции, доступные контейнерам, позволяли записывать данные в свойства объектов и читать их из другого аккаунта. Исследователи Check Point Research назвали этот механизм «общим буфером обмена».
ChatGPT ошибочно давал доступ к письмам других пользователей GmailЧерез этот внутренний канал злоумышленник мог передать скрытую задачу в сессию жертвы. В демонстрации от экспертов по кибербезопасности ChatGPT ответил на обычный запрос пользователя, одновременно прочитал данные из подключенного Gmail и отправил результат в контейнер другого аккаунта.
По сообщению исследователей Check Point Research, к моменту завершения отчета межаккаунтный канал уже был недоступен. OpenAI подтвердила, что обнаруженный внутренний экземпляр Artifactory был выведен из эксплуатации.
Кто мог пострадатьДо закрытия канала кибератака могла затронуть пользователей, которые: открывали подготовленный общий чат и отправляли в нем обычное сообщение; вставляли вредоносный промпт; использовали пользовательский GPT со скрытой инструкцией.
Возможный ущерб зависел от файлов, истории переписки, ИТ-инструментов, подключенных приложений и разрешений, доступных в конкретной сессии.
Выводы исследованияИсследование показывает, что изоляцию агентных систем с технологиями искусственного интеллекта (ИИ) могут нарушить не только сетевые соединения, но и изменяемые данные в общей внутренней ИТ-инфраструктуре. Подключенные сервисы (например, Gmail или другие интеграции) увеличивают последствия, поскольку ИИ-ассистент получает доступ к информации за пределами своего контейнера.
Описанный Check Point Research канал 10 сентября 2026 г. уже недоступен. Приведенные ниже меры относятся к общей безопасности работы с подключенными онлайн-сервисами, чужими чатами и пользовательскими GPT, а не к защите от действующей ИТ-уязвимости.
Общие рекомендацииПроверить список приложений, подключенных к ChatGPT, и отозвать ненужные разрешения.
Для оставшихся интеграций включить режим Always ask, если он доступен.
С осторожностью использовать чужие общие диалоги и пользовательские GPT, особенно при подключенных рабочих ИТ-сервисах.
Обращать внимание на отметки о том, что ChatGPT обращается к Gmail или другим приложениям, если пользователь сам такого действия не запрашивал.