La seguridad de los asistentes de inteligencia artificial enfrenta un nuevo desafío: no siempre el problema está en el modelo, sino en la infraestructura que lo rodea. Una investigación de Check Point Research reveló una vulnerabilidad que permitió establecer comunicación entre sesiones independientes de ChatGPT y enviar instrucciones ocultas a la cuenta de otro usuario.
El hallazgo demuestra que un asistente de IA conectado a servicios como Gmail, Google Drive, Microsoft Teams o GitHub puede convertirse en un punto de entrada para un atacante si existen fallas en los mecanismos de aislamiento. En una prueba, una sesión controlada por el investigador consiguió que ChatGPT consultara información del correo electrónico conectado de otra cuenta, mientras para la víctima la conversación continuaba con absoluta normalidad.
La clave estaba en un servicio interno utilizado para facilitar la instalación de paquetes de software dentro de los entornos de ejecución de código. Aunque los contenedores de diferentes usuarios estaban diseñados para permanecer separados, Check Point Research encontró que podían compartir determinados metadatos. Ese espacio terminó funcionando, en la práctica, como un canal oculto para intercambiar información entre sesiones que debían estar aisladas.
El ataque podía activarse mediante diferentes mecanismos, entre ellos una instrucción maliciosa incorporada en una conversación, un enlace compartido o una GPT personalizada con contenido oculto. Lo más preocupante es que la víctima no necesitaba realizar una acción compleja y la respuesta que aparecía en pantalla podía parecer completamente normal.
Según la investigación, el alcance dependía de los permisos que ya tuviera la sesión comprometida. Esto significa que el riesgo podía extenderse a conversaciones, archivos y aplicaciones conectadas. Check Point Research informó el problema a OpenAI, que confirmó la desactivación de la instancia específica de Artifactory involucrada en el hallazgo.
Más allá de ChatGPT, la investigación deja una advertencia para las empresas que están incorporando agentes de inteligencia artificial a sus operaciones: proteger el modelo no es suficiente. También es necesario vigilar las conexiones, los permisos, la ejecución de tareas y el movimiento de información, porque una IA con acceso a sistemas corporativos puede ampliar considerablemente el impacto de una falla de seguridad.
