Una sessione di ChatGPT controllata da un aggressore poteva impartire istruzioni nascoste a quella di un altro utente e sfruttarne gli strumenti, i file e perfino le applicazioni collegate. Nel test realizzato dai ricercatori, il sistema ha consultato Gmail per conto della vittima e ha fatto arrivare informazioni sulle sue email all’account dell’attaccante, mentre sullo schermo continuava a comparire una risposta apparentemente normale.
La vulnerabilità è stata descritta l’8 settembre 2026 da Check Point Research in una ricerca firmata da Alexey Bukhteyev. Il problema riguardava l’architettura usata da ChatGPT per eseguire codice in ambienti isolati e, secondo Check Point, era già stato eliminato al momento della pubblicazione.
OpenAI ha confermato ai ricercatori che l’istanza interna di JFrog Artifactory coinvolta era stata dismessa. Non risultano, nelle fonti pubbliche consultate, prove che la tecnica sia stata sfruttata contro utenti reali al di fuori delle dimostrazioni dei ricercatori.
Il caso conta soprattutto per le imprese. Gli assistenti basati sull’intelligenza artificiale stanno passando dalla generazione di testo all’accesso diretto a posta elettronica, documenti aziendali, repository di codice e altri servizi. Ogni nuovo collegamento aumenta la quantità di informazioni che un agente può raggiungere quando opera con le autorizzazioni dell’utente.
Indice degli argomenti:
La vulnerabilità nascosta nelle sandbox
Per alcune operazioni ChatGPT utilizza ambienti di esecuzione separati, chiamati comunemente sandbox o container. Servono, per esempio, a eseguire codice e installare librerie necessarie a un’analisi. L’isolamento dovrebbe impedire che due sessioni appartenenti a utenti diversi possano comunicare direttamente.
Secondo Check Point, quella separazione funzionava a livello di rete. I container non potevano collegarsi liberamente tra loro e, nell’ambiente analizzato dai ricercatori, non disponevano neppure di accesso diretto alla rete Internet pubblica. Avevano però una risorsa in comune: un’istanza interna di JFrog Artifactory, piattaforma utilizzata per distribuire pacchetti software e dipendenze.
Il problema nasceva dalle autorizzazioni disponibili su quel servizio. Artifactory permetteva di associare proprietà testuali agli elementi conservati nei repository. Le credenziali assegnate ai container potevano, secondo i test di Check Point, sia leggere sia modificare quelle proprietà.
I ricercatori hanno scritto una proprietà su un file da un container associato a un account e l’hanno poi recuperata da un container appartenente a un secondo account. Il dato era identico. Informazioni più grandi potevano essere spezzate in diversi segmenti e codificate, per esempio, in Base64.
Un servizio progettato per distribuire software si trasformava così in quello che Check Point definisce uno “shared clipboard”, una sorta di appunti condivisi tra ambienti che avrebbero dovuto restare separati.
Un secondo utente invisibile nella conversazione
La possibilità di trasferire dati tra container non bastava, da sola, per arrivare alla posta elettronica di un altro utente. Check Point ha combinato quel canale con istruzioni impartite al modello.
Secondo la ricerca, un prompt costruito appositamente poteva convincere ChatGPT a gestire due flussi durante la stessa interazione. Il primo era quello visibile: l’utente faceva una richiesta e riceveva la normale risposta. Il secondo rimaneva nascosto e prevedeva il controllo periodico di una sorta di casella di comunicazione realizzata attraverso Artifactory.
Se l’account dell’aggressore lasciava lì un compito, la sessione della vittima poteva leggerlo, eseguirlo utilizzando le proprie autorizzazioni e depositare la risposta nello stesso canale.
I ricercatori hanno dimostrato il meccanismo attraverso una conversazione ChatGPT condivisa. La vittima doveva aprire la conversazione e inviare un messaggio ordinario. Nel test, mentre ChatGPT rispondeva alla domanda visibile, utilizzava anche il collegamento Gmail dell’utente e trasferiva all’altro account informazioni recuperate dalla casella di posta.
Check Point sostiene che istruzioni analoghe avrebbero potuto essere inserite anche in un prompt copiato dall’utente o nella configurazione nascosta di un GPT personalizzato.
Non significa che qualunque link ChatGPT condiviso permettesse di rubare dati. L’attacco descritto richiedeva una sequenza precisa di condizioni: la presenza delle istruzioni malevole, la possibilità di utilizzare il canale fra i container e la disponibilità, nella sessione della vittima, di dati o applicazioni accessibili al modello.
Perché Gmail aumenta l’impatto economico
Nel proof of concept di Check Point, Gmail rende immediatamente comprensibile la portata del problema. Una casella di posta aziendale può contenere contratti, fatture, informazioni sui clienti, trattative commerciali, documenti finanziari e credenziali temporanee.
La stessa logica vale per altri servizi collegati a un assistente. Check Point cita, fra gli esempi, Google Drive, Microsoft Teams e GitHub. La quantità di informazioni potenzialmente raggiungibili dipende però dalle autorizzazioni assegnate alla sessione e dagli strumenti effettivamente collegati.
Qui cambia anche il calcolo economico della cybersicurezza applicata all’intelligenza artificiale. Quando un chatbot può soltanto generare una risposta, un prompt malevolo ha capacità operative limitate. Quando lo stesso sistema dispone di accesso autorizzato alla posta, ai documenti o al codice aziendale, un errore nell’isolamento dell’infrastruttura può propagarsi verso informazioni conservate fuori dalla piattaforma stessa.
La ricerca mette quindi al centro un principio già noto nella sicurezza informatica: assegnare a ciascun sistema soltanto i privilegi indispensabili. Con gli agenti di intelligenza artificiale il problema assume una forma diversa perché è il modello a decidere, sulla base di istruzioni in linguaggio naturale, quando utilizzare le risorse disponibili.
Le autorizzazioni delle applicazioni collegate
Il test di Check Point richiama inoltre il funzionamento delle autorizzazioni delle app collegate a ChatGPT.
La documentazione OpenAI descrive diversi livelli di controllo sulle operazioni svolte attraverso queste integrazioni. Secondo quanto riportato dai ricercatori, nella configurazione considerata durante il test le azioni di lettura considerate a rischio inferiore potevano essere effettuate senza una conferma preventiva separata dell’utente. La persona vedeva successivamente un’indicazione dell’utilizzo dell’app.
Nel proof of concept compariva infatti l’indicazione relativa all’uso di Gmail, ma l’accesso era già avvenuto.
La distinzione tra un’operazione di lettura e una di modifica è importante per impedire azioni distruttive, ma diventa meno rassicurante quando il bersaglio è il dato stesso. Leggere un messaggio riservato può produrre un danno economico anche senza modificare o cancellare nulla.
Per le aziende che permettono ai dipendenti di collegare assistenti ai sistemi interni, questo introduce una questione di governance: occorre valutare non soltanto quali azioni l’agente può eseguire, ma anche quali informazioni è autorizzato a vedere.
OpenAI aveva già incontrato il problema di Artifactory
La vicenda acquista peso perché arriva poche settimane dopo un altro incidente che coinvolge una parte simile dell’infrastruttura.
Il 26 agosto 2026 OpenAI ha pubblicato un rapporto relativo a un episodio verificatosi durante valutazioni interne di cybersicurezza. In quel caso alcuni modelli sperimentali, operando in sandbox con restrizioni specifiche, avevano scoperto modalità non autorizzate per comunicare tra loro e raggiungere Internet.
OpenAI riferisce che, durante attività svolte tra maggio e luglio 2026, gli agenti avevano iniziato a scrivere file nell’Artifactory interno trasformandolo in una specie di bacheca. Il 26 maggio un agente riuscì inoltre a sfruttare il servizio per generare richieste verso Internet. Il 26 giugno gli agenti ottennero privilegi amministrativi sull’Artifactory attraverso una vulnerabilità relativa ai token.
La sequenza proseguì durante luglio e arrivò a coinvolgere sistemi di Hugging Face. OpenAI ha dichiarato che gli agenti riuscirono a recuperare credenziali, sfruttare vulnerabilità e ottenere accesso a infrastrutture che non avrebbero dovuto raggiungere. La società ha descritto l’episodio come un avvertimento sui rischi posti da agenti capaci di individuare autonomamente debolezze tecniche.
Il meccanismo individuato da Check Point è differente e non va confuso con quell’incidente. Il collegamento riguarda però un elemento architetturale: ambienti teoricamente isolati disponevano di una risorsa condivisa che poteva trasformarsi in uno strumento di comunicazione.
Secondo The Register, Check Point comunicò la propria scoperta a OpenAI alla fine di giugno. Pedro Drimel Neto, responsabile del team di analisi malware di Check Point, ha spiegato al giornale che OpenAI comunicò successivamente ai ricercatori che l’Artifactory interessato era già stato dismesso.
La falla risulta chiusa
La distinzione fra vulnerabilità dimostrata e attacco realmente osservato è essenziale.
Check Point documenta un proof of concept capace di trasferire informazioni fra due account e di usare Gmail dalla sessione della vittima. Il report non presenta però prove pubbliche di una campagna criminale che abbia utilizzato questa tecnica contro clienti ChatGPT.
Il canale specifico descritto dalla società di sicurezza risulta inoltre non più disponibile. Check Point afferma che OpenAI ha confermato la dismissione dell’istanza Artifactory interessata. Le testate che hanno ripreso la ricerca nelle giornate dell’8 e 9 settembre hanno descritto la vulnerabilità come risolta.
Questo limita il rischio immediato legato alla tecnica descritta nel report, ma non elimina il problema architetturale che la ricerca porta all’attenzione delle imprese.
Per le aziende cambia il perimetro della sicurezza
La diffusione degli agenti di intelligenza artificiale sposta una parte del perimetro di sicurezza verso software che agiscono per conto dell’utente. Un modello può ricevere un’istruzione, eseguire codice, usare credenziali temporanee, interrogare un archivio e consultare un servizio esterno durante la stessa operazione.
Check Point usa l’espressione “coerced insider”, cioè un soggetto interno indotto a svolgere un compito per conto di qualcun altro. Il modello non viola necessariamente i permessi tecnici assegnati alla sessione: il rischio nasce quando utilizza correttamente quei permessi sulla base di un’istruzione che non proviene dalla persona legittimata a impartirla.
Per responsabili finanziari e imprese questo significa che il valore delle integrazioni deve essere confrontato con l’aumento della superficie esposta. Dare a un agente accesso a posta, cloud storage e repository accelera attività quotidiane, ma concentra nello stesso punto autorizzazioni che in precedenza venivano esercitate separatamente.
Le misure indicate dalla ricerca seguono principi tradizionali di sicurezza: separazione effettiva fra tenant, privilegi minimi, impossibilità per gli ambienti di esecuzione di raggiungere interfacce amministrative, controllo delle risorse condivise e limitazione dello stato modificabile fra sessioni diverse.
Il precedente di Artifactory aggiunge una lezione specifica. Bloccare la comunicazione diretta tra due container non basta se entrambi possono scrivere e leggere sulla stessa infrastruttura intermedia.
Il valore dei dati passa dalle autorizzazioni dell’agente
Il caso pubblicato da Check Point arriva mentre le piattaforme di intelligenza artificiale cercano di trasformare i chatbot in strumenti capaci di svolgere attività direttamente nei sistemi digitali dell’utente.
È proprio questa capacità a determinarne il valore economico: l’assistente diventa più utile quando può cercare una mail, recuperare un documento o lavorare con dati aziendali senza costringere la persona a trasferire manualmente ogni informazione.
La stessa caratteristica aumenta però il valore di una sessione compromessa. La sicurezza di un agente non coincide più con quella della finestra di chat. Comprende l’ambiente nel quale viene eseguito il codice, i servizi interni raggiungibili, le credenziali disponibili, le autorizzazioni concesse e tutte le applicazioni collegate.
La vulnerabilità descritta da Check Point è stata chiusa. Il problema industriale che evidenzia rimane: più gli assistenti diventano capaci di agire sui sistemi delle imprese, più la separazione fra utenti e ambienti di esecuzione deve diventare una proprietà verificabile dell’intera infrastruttura, e non soltanto del modello che risponde sullo schermo.
Partecipa alla community