ChatGPT filtró Gmail entre cuentas: el canal oculto ya está cerrado
Una prueba de seguridad divulgada el 8 de septiembre de 2026 consiguió que una sesión de ChatGPT leyera datos de un Gmail conectado y los entregara silenciosamente a otra cuenta. La cobertura de The Register corroboró que el recorrido pasaba por una instancia interna compartida de JFrog Artifactory y que esa infraestructura ya había sido retirada; el canal concreto de la demostración está cerrado.
La divulgación del 8 de septiembre no describe una intrusión indiscriminada en Gmail ni demuestra que cualquier usuario pudiera abrir cualquier buzón. La prueba requería introducir una instrucción controlada por el atacante en el contexto de la víctima y solo podía usar los datos, herramientas, aplicaciones conectadas y permisos disponibles en esa sesión; la instancia interna que permitía cruzar las cuentas ya no estaba operativa cuando concluyó la investigación.
La ruta entre la instrucción oculta y la cuenta atacante
El mecanismo enlazaba cuatro piezas: una instrucción maliciosa, el contenedor de ejecución de ChatGPT, una instancia interna de Artifactory y las capacidades autorizadas en la sesión de la víctima. La investigación técnica de Check Point documenta que los contenedores de conversaciones pertenecientes a cuentas distintas no podían comunicarse directamente ni acceder a internet, pero alcanzaban el mismo servicio interno empleado para distribuir paquetes de software.
El problema estaba en las operaciones de gestión de elementos expuestas por Artifactory. La API permitía adjuntar propiedades de texto a un archivo o elemento del repositorio y recuperarlas después. En el entorno examinado, las credenciales suministradas a los contenedores para acceder a paquetes también tenían permisos suficientes para escribir y leer esas propiedades; el código lanzado por ChatGPT podía autenticarse sin extraer otra clave ni elevar privilegios.
Los investigadores añadieron desde una cuenta una propiedad de prueba a un archivo almacenado en caché. Al consultar las propiedades del mismo archivo desde una conversación de otra cuenta, recuperaron exactamente el nombre y el valor introducidos. Las propiedades podían contener texto o datos binarios codificados en Base64, y un contenido grande podía dividirse entre varias claves y reconstruirse al otro lado.
Ese estado modificable convirtió los metadatos del gestor de paquetes en un portapapeles compartido entre entornos aislados. Una sesión atacante podía depositar allí una tarea; cuando la víctima enviaba un mensaje normal, su sesión atendía la consulta visible, comprobaba el buzón oculto, ejecutaba la orden pendiente con sus propias capacidades y devolvía el resultado por la misma ruta.
Gmail se leyó sin mostrar la orden ni el resultado
En la prueba de concepto, la tarea oculta solicitó una lista de correos mediante el conector de Gmail. La víctima había abierto una conversación compartida que contenía la instrucción y envió una petición ordinaria no relacionada. Durante ese mismo turno, ChatGPT produjo la respuesta esperada, accedió al Gmail ya conectado y transmitió los datos recuperados al contenedor de la otra cuenta.
La respuesta principal no mostraba la orden secundaria ni los datos enviados. El único indicio descrito era la pequeña etiqueta “Talked to Gmail”, que registraba una lectura ya realizada en vez de pedir autorización previa. El análisis de NEXSIGHT precisa que las lecturas consideradas de bajo riesgo podían aprobarse automáticamente con la configuración predeterminada, mientras que las acciones consideradas importantes pedían confirmación; la opción más estricta “Always ask” exigía autorización también para leer.
Por tanto, Gmail no abrió por sí mismo el conducto entre cuentas. El conector aportó una capacidad que la víctima ya había autorizado, mientras que Artifactory transportó la instrucción y su resultado. Sin un Gmail conectado y accesible para aquella sesión, la tarea no podía obtener correos de ese servicio.
El alcance dependía de los permisos ya concedidos
La demostración acredita una ruta de extracción bajo condiciones controladas, no una filtración masiva de todos los usuarios de ChatGPT. Las páginas consultadas no ofrecen una cifra de cuentas afectadas ni documentan una campaña que hubiera explotado el mecanismo fuera de la prueba.
El posible alcance quedaba limitado por lo disponible en la conversación comprometida. Además de datos de aplicaciones conectadas, el canal podía sacar el historial y los archivos accesibles dentro del chat o de su entorno de ejecución. Una conversación compartida, un mensaje malicioso pegado por la víctima o un GPT personalizado con instrucciones ocultas podían introducir la tarea, pero todavía era necesaria una interacción ordinaria de la víctima para activarla.
También importa separar lectura y escritura. La prueba con Gmail aprovechó una operación de lectura que no solicitó confirmación previa en la configuración observada. Eso no implica que el mismo método pudiera efectuar silenciosamente cualquier acción: las operaciones sujetas a confirmación conservaban una barrera adicional.
La red aislaba los contenedores, pero no el estado compartido
El aislamiento de red funcionó en el entorno estudiado: los contenedores no se conectaban directamente entre sí ni disponían de acceso abierto a internet. La separación falló en otra capa, porque todos podían alcanzar un servicio interno con estado modificable sin aislamiento por cuenta. Dos entornos incomunicados en la red podían intercambiar información al escribir y leer el mismo almacén intermedio.
La amplitud de los permisos agravó esa debilidad. Unas credenciales destinadas al consumo de paquetes permitían utilizar operaciones de escritura sobre metadatos, creando una función de mensajería que no formaba parte del propósito previsto. El caso muestra que la frontera de un sistema agente incluye también sus API internas, credenciales, cachés y almacenes compartidos.
El conducto específico ya no está disponible porque la instancia interna implicada fue desmantelada. Para usuarios y administradores, revisar las aplicaciones conectadas, retirar permisos innecesarios, elegir confirmación previa cuando exista esa opción y desconfiar de conversaciones compartidas o GPT personalizados de procedencia incierta reduce lo que una instrucción oculta podría alcanzar, aunque el aislamiento entre cuentas sigue siendo responsabilidad de la plataforma.
No hay información pública que demuestre explotación fuera del laboratorio ni detalles completos sobre otros cambios arquitectónicos posteriores. El estado confirmado es más acotado: la prueba reprodujo un canal bidireccional, lo utilizó para extraer datos de un Gmail previamente autorizado y la infraestructura concreta que permitía ese recorrido fue retirada.
Lee también:
Suscríbete a nuestro boletín
Reciba las últimas noticias sobre Web3, IA y criptomonedas directamente en su bandeja de entrada.