Skrivena instrukcija napadača može da natera ChatGPT da krade podatke dok normalno odgovara korisniku

Vesti, 09.09.2026, 10:30 AM

Jedna skrivena instrukcija ubačena u ChatGPT razgovor mogla je da natera AI asistenta da, dok korisniku normalno odgovara na pitanje, u pozadini izvršava zadatke napadača. Istraživači kompanije Check Point pokazali su da je na ovaj način bilo moguće pristupiti podacima iz povezanog Gmail naloga i poslati ih drugom ChatGPT nalogu, a da korisnik u odgovoru ne vidi šta se dogodilo.

Check Point je u demonstraciji napada pokazao da je istim mehanizmom bilo moguće izvući i istoriju razgovora i fajlove iz ChatGPT razgovora. Količina podataka kojoj bi napadač mogao da pristupi zavisila je od toga kojim podacima, alatima, povezanim aplikacijama i dozvolama je konkretna ChatGPT sesija već imala pristup.

Da bi napad funkcionisao, zlonamerna instrukcija morala je prethodno da bude ubačena u razgovor. Istraživači navode tri načina na koja je to moglo da se dogodi: korisnik je mogao sam da kopira zlonamerni prompt, otvori deljeni ChatGPT razgovor koji ga već sadrži ili koristi posebno napravljen GPT u čijim su instrukcijama skrivene naredbe napadača.

Nakon toga bila je dovoljna jedna obična poruka korisnika da aktivira napad. Check Point je instrukciju napravio tako da ChatGPT u Thinking režimu istovremeno obavlja dva odvojena zadatka. Dok je korisniku odgovarao na njegovo pitanje, u pozadini je proveravao da li je napadač ostavio novi zadatak, izvršavao ga koristeći alate dostupne u korisnikovoj sesiji i rezultat slao nazad napadaču.

U demonstraciji je tako pristupio povezanom Gmail nalogu. U samom odgovoru korisniku nije bilo informacije da se u pozadini odvijala još jedna aktivnost. Jedini vidljivi trag bila je mala oznaka „Talked to Gmail“ iznad odgovora, koja se pojavljivala nakon što je pristup podacima već obavljen.

Problem je povezan i sa načinom na koji ChatGPT upravlja dozvolama povezanih aplikacija. Prema Check Pointu, čitanje podataka iz povezane aplikacije nije zahtevalo novu potvrdu korisnika, pa napad nije prekidan dodatnim pitanjem da li ChatGPT sme da pristupi Gmailu. Korisnici koji žele veću kontrolu mogu u podešavanjima povezanih aplikacija da izaberu opciju „Always ask“, kako bi ChatGPT tražio potvrdu pre svakog pristupa aplikaciji.

Za komunikaciju sa napadačem istraživači su iskoristili interni servis koji ChatGPT koristi kada tokom rada treba da preuzme dodatne softverske pakete. Iako su okruženja u kojima se izvršava kod za različite ChatGPT razgovore međusobno izolovana, mogla su da pristupe istom internom servisu. Istraživači su otkrili da su njegove metapodatke mogli da koriste kao svojevrsno skriveno sanduče preko kojeg su dva odvojena ChatGPT naloga mogla da razmenjuju informacije. Na taj način kompromitovana sesija mogla je da preuzme instrukciju napadača, izvrši je i preko istog kanala vrati prikupljene podatke. Check Point navodi da za to nije bilo potrebno ukrasti dodatne lozinke niti povećavati privilegije unutar sistema.

Istraživači su problem prijavili OpenAI-ju, koji je, prema njihovim navodima, potvrdio da je interni servis preko kojeg je komunikacija bila moguća isključen. Korisnici ne moraju da instaliraju nikakvu bezbednosnu ispravku. Check Point navodi da je istraživanje sprovedeno u junu 2026. godine, ali nije precizirao kada je kanal prestao da funkcioniše.

Ovo je drugi skriveni komunikacioni kanal u ChatGPT-u koji je Check Point prijavio ove godine. U ranijem istraživanju pokazao je da se podaci iz razgovora mogu slati na spoljni server pomoću DNS upita. Prema kompaniji, OpenAI je taj problem otklonio u februaru.