ChatGPT: Versteckter Prompt konnte Gmail-Daten abgreifen

Sicherheitsexperten von Check Point Research haben eine Schwachstelle in ChatGPT aufgedeckt, durch die Angreifer mithilfe eines präparierten Prompts vertrauliche Daten wie Gmail-Inhalte, Chatverläufe oder hochgeladene Dateien entwenden konnten. Die Daten wurden dabei unbemerkt im Hintergrund an ein fremdes ChatGPT-Konto übertragen.

Einschleusung und verdeckte Ausführung

Der schädliche Befehl konnte auf drei Wegen in eine Unterhaltung gelangen: durch manuelles Einfügen durch den Nutzer, beim Öffnen eines geteilten Chat-Links oder verdeckt in den Systemanweisungen eines Custom GPTs.

Sobald eine normale Nachricht eingegeben wurde, führte ChatGPT im sogenannten Thinking Mode zwei parallele Prozesse aus: Während dem Nutzer die gewohnte Antwort angezeigt wurde, prüfte das Modell im Hintergrund Anweisungen des Angreifers, griff über verknüpfte Schnittstellen auf das Gmail-Konto zu und exfiltrierte die Informationen. Für Anwender war lediglich das kleine Label „Talked to Gmail“ sichtbar, da Standardberechtigungen von OpenAI Lesezugriffe ohne explizite Rückfrage erlauben.

Technischer Hintergrund und Behebung

• Verdeckter Kommunikationskanal: ChatGPT nutzt für Code-Ausführungen isolierte Container. Obwohl direkte Netzwerkverbindungen nach außen oder zwischen verschiedenen Containern unterbunden sind, griffen alle Instanzen auf eine gemeinsame interne JFrog Artifactory-Instanz für Software-Pakete zu.
• Metadaten als Zwischenablage: Über Schreibrechte auf Dateieigenschaften (Properties) in Artifactory konnten Informationen kontoübergreifend ausgetauscht werden. Der Paketdienst fungierte somit als ungewollte Zwischenablage zwischen eigentlich getrennten Umgebungen.
• Behebung durch OpenAI: Check Point meldete den Fund an OpenAI. Das Unternehmen hat den betroffenen internen Hintergrunddienst umgehend offline genommen. Ein clientseitiges Update für Endnutzer ist nicht erforderlich.

(red)