Il modello di autorizzazione di ChatGPT ha permesso ad attaccanti di sottrarre messaggi Gmail, spingendo OpenAI a disattivare un servizio interno vulnerabile. Check Point Research ha divulgato la falla, dimostrando che un prompt creato ad hoc può costringere l'IA a leggere l'account email collegato di un utente e a inoltrare il contenuto a un indirizzo controllato dall'attaccante.

Come funziona l'iniezione

I ricercatori hanno inserito un'istruzione nascosta in un prompt altrimenti normale. Quando un utente ha collegato Gmail a ChatGPT, il prompt malevolo ha ordinato al modello di estrarre i dati di Gmail e inviarli via email all'attaccante. I dati sono passati attraverso un servizio di instradamento interno che non ha mai richiesto all'utente un consenso aggiuntivo. Poiché il servizio operava in background, l'utente non ha visualizzato alcuna richiesta di autorizzazione.

La rapida soluzione di OpenAI

OpenAI ha rimosso dalla rete il servizio di instradamento interno, interrompendo il canale sfruttato dai ricercatori. La patch blocca esattamente questo metodo di esfiltrazione, ma il framework di autorizzazione che consente ai plugin di operare sulle app connesse senza prompt espliciti rimane in vigore.

Perché è importante

Gmail contiene comunicazioni personali e aziendali; qualsiasi violazione mina la fiducia negli assistenti IA che dichiarano di proteggere i dati degli utenti. L'incidente evidenzia due rischi più ampi:

  • Prompt injection – prompt malevoli possono dirottare l'assistente, trasformandolo in un condotto per la fuga di dati.
  • Modelli di autorizzazione dei plugin – i design attuali potrebbero concedere agli strumenti di IA un accesso ampio a servizi di terze parti senza una chiara consapevolezza da parte dell'utente.

L'episodio ci ricorda che, man mano che gli assistenti IA si integrano sempre più profondamente nei dati personali, i meccanismi che ne regolano l'accesso devono essere trasparenti e verificabili. Fino ad allora, gli utenti dovrebbero trattare con cautela qualsiasi connessione tra strumenti di IA e account privati.