כיצד לגנוב מידע מהצ'אט – מבלי לפרוץ לחשבון המשתמש?

נמצאה דרך שאפשרה להעביר מידע והוראות בין שתי סביבות ChatGPT, שפעלו תחת חשבונות נפרדים, למרות שהן אמורות להיות מבודדות לחלוטין זו מזו. לפי חוקרי צ'ק פוינט (Check Point), "נקודת המפתח היא פער בבידוד בין סביבות הרצת הקוד של ChatGPT".

מהמחקר, המתפרסם היום אחה"צ (ג'), עולה כי באמצעות ניצול המנגנון, החוקרים הצליחו לגרום לצ'אט לגשת למידע של משתמש אחר, כולל היסטוריית שיחות, קבצים שהועלו לצ'אט ומידע משירותים מחוברים – ולהחזיר את המידע. כך, ChatGPT ניגש לחשבון ג'ימייל (Gmail) שהיה מחובר לחשבון הקורבן והעביר ממנו מידע לחשבון אחר.

החוקרים הסבירו כי מדובר "בערוץ חשאי שגילינו, ערוץ פקודות חוצה חשבונות, דרכו תוקף יכול להשתמש בסשן ChatGPT של הקורבן כדי לבצע משימות נסתרות באמצעות הכלים, הנתונים והאפליקציות המחוברות הזמינות לאותו סשן. הקורבן יכול היה לקבל תשובה רגילה לבקשה הגלויה שלו, בזמן שהמשימה של התוקף עברה עיבוד בנפרד והתוצאה חזרה בין החשבונות".

"כאשר ChatGPT צריך להריץ קוד או לנתח משהו", כתבו החוקרים, "הוא פותח עבור השיחה סביבת עבודה מבודדת, קונטיינר. הקונטיינרים של משתמשים שונים לא אמורים להיות מסוגלים לתקשר ביניהם. למרות זאת, כל הקונטיינרים יכלו לגשת לאותו שירות פנימי (JFrog Artifactory), ששימש את ChatGPT להורדת חבילות תוכנה, מבלי לאפשר לסביבות גישה ישירה לאינטרנט".

חוקרי צ'ק פוינט גילו שניתן היה לכתוב מידע דרך השירות מחשבון אחד, ולקרוא אותו מחשבון אחר. משם, ניתן היה להפוך את אותו מנגנון לערוץ דו-כיווני וסמוי. לפיכך, האקר יכול ועלול היה להשאיר הוראה לצ'אט של משתמש אחר, והמערכת הייתה יכולה לבצע את ההוראה, באמצעות ההרשאות שכבר היו זמינות לה, ואז להחזיר את המידע להאקר. ההוראה יכולה להגיע דרך פרומפט זדוני, שיחה משותפת, או GPT מותאם אישית.

סוכני AI של OpenAI פרצו אליה. האגינג פייס. צילום: אילוסטרציה. ChatGPT

בממצא החדש ובתקרים האגינג פייס "אותה חולשה ארכיטקטונית"

"יש למחקר קשר גם לאירוע האגינג פייס (Hugging Face) שעליו OpenAI דיווחה", ציינו החוקרים של ענקית הגנת הסייבר הישראלית, בהתייחסם לפרשת הוכנים הסוררים המדוברת מאוד באחרונה. "לא מדובר באותה מתקפה ולא באותה טכניקה", הסבירו, "אבל בשני המקרים, נקודת הכשל הייתה אותה תשתית פנימית משותפת של השירות מאחורי ChatGPT".

לפי המחקר, "יש חשיבות לגבול הבידוד הזה. בניתוח פוסט-מורטם של האירוע, OpenAI תיארה כיצד סוכנים שרצים בסביבות הערכה נפרדות הקימו ערוצי תקשורת לא מורשים, שאפשרו להם לשתף מידע ולתאם את פעולותיהם. באופן מקרי, בזמן שהאירוע הזה התפתח, חקרנו בעיית בידוד קשורה ב-ChatGPT. ביוני 2026, מצאנו באופן עצמאי דרך להקים ערוץ סמוי ודו-כיווני בין מיכלי ביצוע הקוד של שתי שיחות ChatGPT נפרדות שנוצרו תחת חשבונות שונים. המנגנון שגילינו היה שונה מהמקרה של OpenAI, אך בשניהם נחשפה אותה חולשה ארכיטקטונית: שירות פנימי משותף הפך לשכבת תקשורת בלתי מכוונת בין סביבות שהיו אמורות להישאר מבודדות".

לפי החוקרים, "מערכות מודרניות יכולות להריץ קוד, להתקין תלותיות נוספות, לנתח קבצי משתמש ולגשת לנתונים דרך שירותים מחוברים. יכולות אלו מגדילות משמעותית את הערך המעשי של מודלי שפה גדולים, אך הן גם משנות את מודל האבטחה: הגנה על נתוני משתמשים כיום תלויה הן בהתנהגות המודל עצמו והן בסביבת הביצוע שלו, בכלים הזמינים לו ובשירותי הפלטפורמה הפנימיים… בארכיטקטורה זו, המודל נמצא בתוך גבול האבטחה. הוא יכול לגשת למשאבים פנימיים ולנתוני משתמשים, אך התנהגותו ניתנת לכיוון באמצעות הוראות. אם תוקף מספק הצדקה משכנעת לפעולה, המודל יכול לבצע אותה באמצעות היכולות הזמינות במושב (Session) המשתמש. לכן, המודל יכול לפעול כאדם פנימי בכפייה: לא זדוני, אלא משוכנע לפעול בשם התוקף. גם אם המודל מבצע פעולה שהוא לא אמור, דליפת נתונים עדיין צריכה להיות בלתי אפשרית מבחינה טכנית".

"הסוגיה ממחישה אתגר אבטחה רחב יותר במערכות סוכניות. LLM פועל בתוך גבול האמון: הוא משתמש באישורים, מריץ קוד, ניגש לשירותים פנימיים ועובד עם נתוני המשתמש. פעולותיו מונחות באמצעות הוראות טקסט. שילוב זה הופך את המודל לפנימי כפוי שעלול להשתמש ביכולות מורשות בשם משתמש אחר. הארכיטקטורה של פלטפורמות סוכנויות חייבת להתחשב בכל המשאב הזמין למודל, ממשקי ניהול צריכים להיות בלתי נגישים בזמן הריצה, וההרשאות צריכות להיות מוגבלות למינימום הנדרש. חיבור שירותים חיצוניים מגדיל את השפעת כל כישלון במודל זה, מכיוון שסשן פעיל עשוי לעבוד עם נתונים הרבה מעבר למכולה".