Celah ChatGPT sempat membaca Gmail lintas akun—jalurnya kini ditutup

Pada 8 September 2026, laporan teknis Check Point Research memaparkan celah yang dalam demonstrasi membuat sesi ChatGPT korban membaca email dari Gmail terhubung dan mengirimkan hasilnya ke akun ChatGPT lain. Laporan tersebut juga menyebut OpenAI telah menonaktifkan instans JFrog Artifactory internal yang membentuk kanal itu.

Dengan demikian, jalur khusus yang diperagakan peneliti sudah tidak aktif dan tidak memerlukan pembaruan pada perangkat pengguna. Liputan The Hacker News mencatat bahwa riset dilakukan pada Juni 2026, tetapi tanggal pasti penutupan kanal tidak diumumkan; materi yang tersedia menjelaskan proof of concept, bukan insiden pencurian data pengguna yang telah terkonfirmasi di luar penelitian.

Artifactory menjadi perantara antarakun

Kontainer eksekusi kode milik akun berbeda tidak berkomunikasi secara langsung. Namun, kontainer tersebut dapat menjangkau instans Artifactory internal yang sama, yang dipakai sebagai perantara untuk menyediakan paket perangkat lunak tanpa membuka akses kontainer ke repositori publik.

Masalah muncul karena layanan bersama itu menyediakan operasi Item Management API untuk menambahkan dan membaca properti pada item repositori. Dalam lingkungan yang diperiksa Check Point, kredensial pembaca di dalam kontainer memiliki izin yang cukup untuk kedua operasi tersebut. Properti yang ditulis dari kontainer satu akun kemudian dapat diambil melalui kontainer akun lain.

Properti tersebut dapat membawa teks maupun data biner yang dikodekan sebagai Base64. Muatan yang terlalu besar untuk satu properti dapat dipecah menjadi beberapa bagian lalu dirangkai kembali, sehingga metadata paket berfungsi seperti ruang penyimpanan bersama untuk tugas tersembunyi dan hasilnya. Kegagalan pemisahan terjadi melalui status yang dapat diubah pada layanan internal bersama, bukan karena sandbox menyediakan sambungan langsung antarkontainer.

Serangan tetap memerlukan instruksi berbahaya

Kanal Artifactory tidak dengan sendirinya membaca Gmail atau menjalankan tugas penyerang. Instruksi berbahaya harus lebih dahulu berada dalam konteks percakapan korban dan mengarahkan sesi untuk mengambil tugas tersembunyi, menjalankannya, lalu mengirimkan hasil melalui metadata layanan tersebut.

Penelitian itu menguji tiga cara penempatan instruksi: prompt yang ditempelkan pengguna, percakapan bersama yang sebelumnya telah memuat perintah, atau custom GPT dengan instruksi tersembunyi dalam konfigurasi pembuatnya. Sesudah instruksi berada dalam konteks, satu pesan biasa dari korban dapat memicu alur tersembunyi.

Dalam proof of concept menggunakan Thinking mode, ChatGPT menangani permintaan normal dan tugas tersembunyi pada giliran yang sama. Jawaban yang terlihat tidak menyebut permintaan Gmail ataupun data yang dibaca. Petunjuk khusus aplikasi yang muncul hanya label kecil “Talked to Gmail”, dan label itu tampil setelah pembacaan berlangsung, bukan sebagai permintaan persetujuan sebelumnya.

Jangkauan data mengikuti izin sesi korban

Celah ini tidak menyerahkan kredensial Gmail korban secara langsung kepada penyerang dan tidak otomatis membuka seluruh akun Google. Sesi korban menggunakan akses sah yang sudah dimilikinya, sedangkan kanal lintas akun membawa instruksi masuk dan hasil keluar.

Demonstrasi secara khusus membuktikan pembacaan data email dari Gmail yang telah terhubung. Peneliti juga menemukan bahwa kanal tersebut dapat membawa riwayat percakapan dan berkas yang tersedia dalam chat serta lingkungan eksekusi kode. Batas akhirnya ditentukan oleh data, alat, aplikasi terhubung, dan izin yang memang tersedia bagi sesi korban.

Karena itu, keberadaan aplikasi kerja lain tidak berarti semua layanan tersebut turut ditembus. Dampak hanya dapat meluas ke aplikasi yang benar-benar telah dihubungkan dan ke informasi yang dapat dijangkau melalui izin sesi itu. Perbedaan ini penting: temuan tersebut menunjukkan penyalahgunaan akses yang sudah diberikan, bukan cara untuk melewati setiap pembatasan pada penyedia aplikasi.

Jalur ditutup, tetapi izin aplikasi tetap perlu ditinjau

Penonaktifan instans Artifactory menutup mekanisme lintas akun yang ditemukan Check Point, tetapi tidak mencabut koneksi Gmail atau aplikasi lain yang telah disetujui pengguna maupun organisasi. Mitigasi infrastrukturnya berada di tangan penyedia, sedangkan luas akses aplikasi tetap ditentukan oleh koneksi akun, izin dari penyedia layanan, dan kebijakan ruang kerja.

Dokumentasi resmi aplikasi ChatGPT menerangkan bahwa pengaturan izin menentukan kapan ChatGPT harus meminta persetujuan; konfigurasi bawaan dapat mengizinkan pembacaan aplikasi secara otomatis, sementara tindakan penting meminta konfirmasi. Mengubah pengaturan persetujuan tidak menghapus akses yang sudah diberikan. Untuk mencabut akses, pengguna perlu memutuskan aplikasi, atau meminta administrator ruang kerja menonaktifkannya.

Bagi organisasi, pemeriksaan yang masih relevan mencakup aplikasi mana yang tersedia, peran yang boleh menggunakannya, tindakan baca dan tulis yang diaktifkan, serta izin pada akun penyedia yang terhubung. Kontrol tersebut tidak memperbaiki kanal Artifactory—kanal itu sudah ditutup—tetapi membatasi data dan kemampuan yang dapat digunakan ChatGPT apabila mekanisme pemaksaan lain ditemukan.

Status kasus ini pada saat publikasi cukup tegas: kanal lintas akun melalui Artifactory yang didemonstrasikan tidak lagi tersedia. Yang belum dipublikasikan adalah tanggal persis penutupannya dan bukti bahwa teknik tersebut pernah disalahgunakan di luar lingkungan riset. Risiko yang tetap berada di tangan pengguna dan administrator adalah cakupan akses aplikasi yang sengaja dipertahankan setelah perbaikan infrastruktur selesai.

Baca juga:

• Agen layanan Genesys bisa bicara lintas sistem—izin menjadi titik rawan
• Gmail, Docs, dan Keep kini bisa diajak bicara—aksesnya belum merata
• ChatGPT dan Claude sempat gagal bersamaan—penyebab bersama belum terbukti