ChatGPT: Versteckter Prompt konnte Gmail-Daten abgreifen

Eine Lücke in ChatGPT erlaubte Datendiebstahl über interne Server. OpenAI hat den betroffenen Hintergrunddienst deaktiviert.

Sicherheitsexperten von Check Point Research haben eine Schwachstelle in ChatGPT aufgedeckt, durch die Angreifer mithilfe eines präparierten Prompts vertrauliche Daten wie Gmail-Inhalte, Chatverläufe oder hochgeladene Dateien entwenden konnten. Die Daten wurden dabei unbemerkt im Hintergrund an ein fremdes ChatGPT-Konto übertragen.

Einschleusung und verdeckte Ausführung

Der schädliche Befehl konnte auf drei Wegen in eine Unterhaltung gelangen: durch manuelles Einfügen durch den Nutzer, beim Öffnen eines geteilten Chat-Links oder verdeckt in den Systemanweisungen eines Custom GPTs.

Sobald eine normale Nachricht eingegeben wurde, führte ChatGPT im sogenannten Thinking Mode zwei parallele Prozesse aus: Während dem Nutzer die gewohnte Antwort angezeigt wurde, prüfte das Modell im Hintergrund Anweisungen des Angreifers, griff über verknüpfte Schnittstellen auf das Gmail-Konto zu und exfiltrierte die Informationen. Für Anwender war lediglich das kleine Label „Talked to Gmail“ sichtbar, da Standardberechtigungen von OpenAI Lesezugriffe ohne explizite Rückfrage erlauben.

Technischer Hintergrund und Behebung

• Verdeckter Kommunikationskanal: ChatGPT nutzt für Code-Ausführungen isolierte Container. Obwohl direkte Netzwerkverbindungen nach außen oder zwischen verschiedenen Containern unterbunden sind, griffen alle Instanzen auf eine gemeinsame interne JFrog Artifactory-Instanz für Software-Pakete zu.
• Metadaten als Zwischenablage: Über Schreibrechte auf Dateieigenschaften (Properties) in Artifactory konnten Informationen kontoübergreifend ausgetauscht werden. Der Paketdienst fungierte somit als ungewollte Zwischenablage zwischen eigentlich getrennten Umgebungen.
• Behebung durch OpenAI: Check Point meldete den Fund an OpenAI. Das Unternehmen hat den betroffenen internen Hintergrunddienst umgehend offline genommen. Ein clientseitiges Update für Endnutzer ist nicht erforderlich.

(red)