חברת הסייבר הישראלית Check Point פרסמה ב-8 בספטמבר מחקר שמתאר ערוץ תקשורת סמוי בין סביבות הרצת הקוד של שני חשבונות ChatGPT נפרדים. בהדגמה, תוקף הצליח לגרום ל-ChatGPT של הקורבן לשלוף מידע מחשבון Gmail המחובר שלו ולהעביר אותו אליו, כשהקורבן רואה רק תשובה רגילה לשאלה שלו.
לוח מודעות משותף
המחקר, מאת אלכסיי בוכטייב, מתאר ממצא מיוני 2026. כש-ChatGPT מריץ קוד, הוא עושה זאת בתוך קונטיינר מבודד. הקונטיינרים האלה לא יכלו לגשת לאינטרנט הפתוח או לתקשר ישירות זה עם זה, גם לא בין חשבונות. אבל כולם יכלו לגשת לשירות פנימי אחד: מופע של JFrog Artifactory, מאגר שדרכו מותקנות חבילות תוכנה.
לפי החוקרים, פרטי גישה לקריאה נשמרו במשתני הסביבה של הקונטיינר, והם הספיקו גם כדי לכתוב "מאפיינים" (Properties) על פריטים במאגר וגם כדי לקרוא אותם. קונטיינר בחשבון אחד כתב ערך, וקונטיינר בחשבון אחר קרא אותו. מידע גדול יותר אפשר היה לפצל ולהרכיב מחדש. כך נוצר מה שהחוקרים מכנים "לוח גזירים משותף", ערוץ דו-כיווני בין סביבות שנחשבו מבודדות.
איך נראתה התקיפה
כדי לנצל את הערוץ, התוקף צריך להכניס לשיחה של הקורבן הוראה זדונית. החוקרים מציינים שלוש דרכים: פרומפט זדוני שהקורבן מדביק, שיחה משותפת שהוא פותח, או GPT מותאם עם הוראות נסתרות. ההוראה מורה ל-ChatGPT, במצב Thinking, לבדוק בכל תור "תיבת דואר" נסתרת, לבצע משימה שמחכה שם, להחזיר את התוצאה דרך הערוץ הסמוי ולא להזכיר זאת בתשובה הגלויה.
בהדגמה, הקורבן פתח שיחה משותפת ושאל שאלה תמימה. ChatGPT ענה עליה, ובמקביל שלף נתונים מחשבון ה-Gmail המחובר ושלח אותם לתוקף. הסימן היחיד היה תווית קטנה, "Talked to Gmail". החוקרים מעירים שהתווית רק תיעדה פעולה שכבר בוצעה, ולא נתנה למשתמש הזדמנות לאשר או לדחות אותה. הם מסבירים שבהגדרת ברירת המחדל לאפליקציות מחוברות, "Important actions", פעולות קריאה רצות בלי אישור, ושקיימת הגדרה מחמירה יותר, "Always ask".
החוקרים מתארים את המודל כ"מקורב בכפייה": לא זדוני, אבל משוכנע לפעול בשם התוקף, עם ההרשאות הלגיטימיות שקיבל.
התגובה של OpenAI
לפי Check Point, הממצאים נמסרו ל-OpenAI, וזו אישרה שמופע ה-Artifactory שזוהה במחקר הוצא משימוש. עד שהדוח הושלם, הערוץ בין החשבונות כבר לא היה זמין. המחקר לא מפרט תאריכים מדויקים של הדיווח והתיקון.
זה לא הממצא הראשון של החברה בסביבת הרצת הקוד של ChatGPT. במחקר קודם שפורסם ב-30 במרץ, Check Point תיארה ערוץ יציאה נסתר שהתבסס על DNS, ואפשר לפרומפט זדוני או ל-GPT עם דלת אחורית להוציא תוכן משיחות, כמו קבצים שהועלו. לפי אותו דוח, OpenAI אמרה שזיהתה את הבעיה בעצמה, והתיקון הושלם ב-20 בפברואר.
מה זה אומר למי שמחבר מיילים ומסמכים
הלקח של החוקרים הוא שתשתית משותפת הפכה לנתיב תקשורת בין סביבות שנחשבו נפרדות, ושחיבור שירותים חיצוניים מגדיל את הנזק של כל כשל. ההמלצות שלהם מופנות בעיקר לבוני מערכות: לחסום ממשקי ניהול מסביבת ההרצה, לצמצם הרשאות, לוודא שמידע שקונטיינר יכול לשנות נגיש רק לחשבון או לסשן שלו, ולהביא בחשבון כל משאב שהמודל יכול להגיע אליו.
למשרדי עורכי דין יש כאן שאלה מעשית יותר. עורך דין שמחבר את תיבת המייל או את מאגר המסמכים שלו לעוזר AI, מעניק לו גישה לחומר חסוי של לקוחות. המקרה הזה מראה שהסיכון לא מסתכם בשאלה מה הספק עושה עם המידע, אלא גם במה שהעוזר עצמו יכול להשתכנע לעשות. בית דין בבריטניה כבר קבע שהעלאת מסמכי לקוח לכלי AI פתוח היא הפרת סודיות ומוותרת על החיסיון. שני צעדים פשוטים עולים ישירות מהמחקר: לבחור בהגדרת "Always ask" לאפליקציות מחוברות, ולהיזהר משיחות משותפות, פרומפטים מוכנים ו-GPTs ממקור לא מוכר. שיתוף שיחות בקישור הוא גם סיכון בפני עצמו: שיחות Claude ששותפו בקישור הופיעו בתוצאות החיפוש של גוגל.
עוד בנושא
- שיחות Claude ששותפו בקישור הופיעו בתוצאות החיפוש של גוגל, כולל שיחות בעברית
- בית דין בבריטניה: העלאת מסמכי לקוח ל-ChatGPT מפרה סודיות ומוותרת על החיסיון
- Box מוסיפה בלמים לסוכני AI ומכוונת לעבודה המשפטית: חסימת מחיקות והרשאות לפי סיווג