Le modèle de permissions de ChatGPT a permis à des attaquants de siphonner des messages Gmail, poussant OpenAI à désactiver un service interne vulnérable. Check Point Research a révélé la faille, montrant qu'un prompt conçu à cet effet peut forcer l'IA à lire le compte de messagerie lié d'un utilisateur et à transférer le contenu vers une adresse contrôlée par l'attaquant.

Comment fonctionne l'injection

Des chercheurs ont glissé une instruction cachée dans un prompt par ailleurs normal. Lorsqu'un utilisateur a lié Gmail à ChatGPT, le prompt malveillant a ordonné au modèle d'extraire les données Gmail et de les envoyer par courriel à l'attaquant. Les données passaient par un service de routage interne qui ne demandait jamais de consentement supplémentaire à l'utilisateur. Comme le service fonctionnait en arrière-plan, l'utilisateur n'a vu aucune demande de permission.

La correction rapide d'OpenAI

OpenAI a mis hors ligne le service de routage interne, coupant ainsi le canal exploité par les chercheurs. Le correctif empêche précisément cette méthode d'exfiltration, mais le cadre de permissions qui permet aux plugins d'agir sur les applications connectées sans demande explicite reste en place.

Pourquoi c'est important

Gmail contient des communications personnelles et professionnelles ; toute violation érode la confiance envers les assistants IA qui prétendent protéger les données des utilisateurs. L'incident met en lumière deux risques plus larges :

  • Injection de prompt – des prompts malveillants peuvent détourner l'assistant, le transformant en vecteur de fuite de données.
  • Modèles de permissions des plugins – les conceptions actuelles peuvent donner aux outils d'IA un accès étendu à des services tiers sans que l'utilisateur n'en soit clairement informé.

Cet épisode nous rappelle qu'à mesure que les assistants IA s'immiscent davantage dans les données personnelles, les mécanismes régissant leur accès doivent être transparents et auditables. D'ici là, les utilisateurs doivent aborder toute connexion entre les outils d'IA et les comptes privés avec prudence.