Check Point: חולשה ב-ChatGPT אפשרה לשאוב מיילים מחשבון Gmail של משתמש אחר

חוקרי Check Point Research פרסמו ב-8 בספטמבר 2026 ממצא מטריד על ChatGPT ו-Gmail. ערוץ תקשורת סמוי בין חשבונות שונים אפשר לתוקף להפעיל מרחוק את ה-ChatGPT של קורבן. התוקף יכול היה לשלוף דרכו מידע מתיבת ה-Gmail המחוברת של הקורבן. הוא יכול היה גם להעביר את המידע לחשבון שלו. OpenAI סגרה את הפרצה. היא אישרה שהשירות הפנימי שהכיל אותה הוצא משימוש. אין עדות לכך שתוקפים ניצלו אותה נגד משתמשים אמיתיים.

״לוח העתקה משותף״ בתוך ארגז החול

כשמבקשים מ-ChatGPT לנתח קבצים או להריץ קוד, הוא עושה זאת בתוך מכולה (container). המכולה מבודדת ומשויכת לחשבון אחד. המכולות האלה לא יכולות לגלוש לאינטרנט ולא לתקשר זו עם זו. אבל כדי להתקין חבילות, כמו ספריות Python, הן מתחברות לשרת פנימי של OpenAI. השרת מבוסס על JFrog Artifactory.

החוקר Alexey Bukhteyev גילה שפרטי הגישה שנשמרו בכל מכולה אפשרו לא רק להוריד חבילות מהשרת. הם אפשרו גם לכתוב ולקרוא מאפיינים (metadata) שמוצמדים לפריטים בו. מאפיין שנכתב מחשבון אחד היה גלוי לחשבון אחר. כך, בלשון המחקר, השירות הפך ל״לוח העתקה משותף״ בין מכולות של משתמשים שונים. באמצעות פיצול וקידוד אפשר היה להעביר דרכו גם כמויות גדולות של מידע. החוקרים מסכמים שבידוד הרשת עבד כמתוכנן. אבל לדבריהם מצב משותף שניתן לשינוי, בלי הפרדה בין לקוחות, יצר את הפרצה.

ChatGPT ו-Gmail: הקורבן רק שלח הודעה רגילה

כדי לנצל את הערוץ, התוקף היה צריך להחדיר הוראה סמויה להקשר של הקורבן. המחקר מתאר שלוש דרכים. הראשונה היא פרומפט זדוני שהקורבן מדביק לשיחה. השנייה היא שיחה משותפת (shared conversation) שמכילה את ההוראה. השלישית היא GPT מותאם אישית שההוראה חבויה בהגדרות שלו. בהדגמה, הקורבן פתח קישור לשיחה משותפת ושלח הודעה רגילה לגמרי.

מאותו רגע ChatGPT הריץ במקביל משימה שנייה וסמויה, וקרא מיילים מחשבון ה-Gmail המחובר. הוא העביר את המיילים לחשבון של התוקף דרך הערוץ הסמוי. התשובה שהקורבן ראה נראתה רגילה. הסימן היחיד היה תווית קטנה, Talked to Gmail. היא הופיעה רק אחרי ש-ChatGPT כבר ביצע את הפעולה. לפי המחקר, ChatGPT קרא את המיילים בלי לבקש אישור. זו התנהגות ברירת המחדל (Important actions). משתמשים יכולים לבחור במקומה בהגדרה המחמירה Always ask.

Gmail היה רק הדוגמה. לפי Check Point, אותו מנגנון יכול היה להגיע לכל מה שהסשן של הקורבן התחבר אליו. זה כולל Google Drive, Microsoft Teams ו-GitHub. המנגנון יכול היה להגיע גם להיסטוריית השיחה ולקבצים שבה.

הבעיה האמיתית: ChatGPT עם מפתחות ל-Gmail ולכל המערכות

החוקרים מגדירים את המקרה כ״מקורב מאולץ״ (coerced insider). התוקף לא פרץ ל-AI, אלא תימרן אותו לפעול בתוך גבולות האמון של הארגון. ה-AI פעל עם ההרשאות שהמשתמש עצמו נתן לו. ככל שעובדים מחברים עוד מערכות לעוזרי AI, הנזק האפשרי מכל פרצה כזו גדל. Shilpi Handa מחברת המחקר IDC אמרה ל-CSO Online שארגון לא יוכל לזהות דליפה כזו. הסיבה היא היעדר תיעוד של מה שהאפליקציות המחוברות קוראות וכותבות. זה נכון גם אחרי ש-OpenAI סגרה את הפרצה.

לפי CSO Online, שרשרת תקיפה אחרת על אותו שרת Artifactory הובילה לפריצה ל-Hugging Face. OpenAI דיווחה על הפריצה הזו בהמשך. Check Point מדגישה שהמנגנון שם היה אחר. אבל החולשה הארכיטקטונית זהה. בשני המקרים שירות פנימי משותף הפך, בלי כוונה, לגשר בין סביבות שאמורות להיות מבודדות.

עוד ב-GEEKLIK: Patch Tuesday של ספטמבר: Microsoft תיקנה כמעט אלף חולשות, שתיים כבר נוצלו

מה הלאה

OpenAI סגרה את הפרצה עצמה, אבל המחקר מצביע על סוג חדש של סיכון. זה לא פריצה למודל, אלא ניצול של כל מה שמסביבו. זה כולל שרתים פנימיים, פרטי גישה והאפליקציות המחוברות. עוזרי AI מקבלים גישה רחבה וגדלה למיילים, למסמכים ולקוד. לכן צפוי שחוקרים ותוקפים ימשיכו לחפש בדיוק את החוליות האלה.