Artifactory nội bộ của OpenAI bị phát hiện tạo kênh ẩn truyền dữ liệu
"Check Point Research disclosed that an internal JFrog Artifactory instance used by ChatGPT containers allowed cross-account text-property sharing, creating a covert channel for hidden instructions and data exfiltration between sessions. The issue could let one account inject tasks into another account’s ChatGPT workflow and potentially access connected services such as Gmail, Drive, Teams, or GitHub; OpenAI had already decommissioned the Artifactory instance, closing the channel. No CVE was cited."
Rủi ro chính là chèn lệnh ẩn và rò rỉ dữ liệu qua phiên làm việc của AI; nếu bị khai thác, kẻ tấn công có thể dùng quyền hợp lệ của nạn nhân để truy cập dịch vụ liên kết.
Có thể ảnh hưởng đến dữ liệu doanh nghiệp, email, và các hệ thống cộng tác/tài liệu; đồng thời làm tăng nhu cầu kiểm soát quyền và giám sát vận hành đối với AI agent.
Theo Check Point Research, một phiên bản JFrog Artifactory nội bộ dùng cho các container của ChatGPT đã cho phép chia sẻ thuộc tính văn bản giữa các tài khoản, từ đó hình thành một kênh ẩn để chèn lệnh và trích xuất dữ liệu giữa các phiên làm việc. Kẻ tấn công có thể ghi nhiệm vụ vào vùng lưu trữ dùng chung, rồi để phiên của tài khoản khác thực thi bằng các quyền đã được cấp.
Trong thử nghiệm, cơ chế này có thể khiến một phiên ChatGPT truy cập các dịch vụ đã kết nối như Gmail, Google Drive, Microsoft Teams hoặc GitHub mà người dùng không nhìn thấy yêu cầu ẩn. Dữ liệu bị lấy ra có thể được trả về qua cùng kênh bí mật mà không xuất hiện trong phản hồi hiển thị.
OpenAI đã ngừng sử dụng Artifactory nội bộ này trước khi báo cáo được công bố, nên kênh ẩn hiện đã bị đóng. Tuy vậy, sự việc cho thấy rủi ro khi AI agent được cấp quyền truy cập vào dữ liệu và dịch vụ nhạy cảm mà thiếu phân tách tin cậy, giám sát và kiểm soát quyền chặt chẽ.
Khuyến nghị: rà soát lại quyền truy cập của AI agent, tách biệt rõ lưu trữ nội bộ, giới hạn connector theo nguyên tắc tối thiểu, và ghi log đầy đủ các hành động do mô hình thực thi.