Check Point: ChatGPT açığı, saldırganların gizli bir hesaplar arası kanalla Gmail verilerini çalmalarına izin veriyordu

Check Point'teki güvenlik araştırmacıları, tamamen yalıtılmış olması gereken kullanıcı hesaplarını birbirine bağlayan gizli bir kanal aracılığıyla bir saldırganın kurbanın Gmail hesabından veri çekmesini sağlayan bir ChatGPT açığını ortaya koydu. Eylül 2026'da dev.to'da yayımlanan ve CSO Online'ın haberine dayanan bir yazıya göre OpenAI açığı daha sonra yamadı ve ilgili iç servisi kapattı.

Gizli kanal nasıl çalışıyordu

ChatGPT'ün kod yürütme özelliği her kullanıcının işini kendi container'ında çalıştırır ve bu container'lar hiçbir oturumun diğerine erişememesi şekilde tasarlanmıştır. Ancak sandbox'ların yazılım paketleri kurabilmesini sağlamak için OpenAI, kurulum isteklerini JFrog'un Artifactory'si üzerine kurulu dahili bir servis üzerinden yönlendiriyor.

Check Point, her container'ın o paylaşılan servisteki paket gönderimlerine eklenen metaveriye yazabildiğini ve onu geri okuyabildiğini tespit etti. Etkisiyle bu metaveri, birbirinden tamamen izole edilmiş olması gereken sandbox'ları bağlayan bir panoya dönüştü.

Saldırı neler yapabiliyordu

Paylaşılan metaveriye yazma erişimiyle bir saldırgan, başka bir kullanıcının oturumunun içine bir görev yerleştirebiliyordu. dev.to'daki yazının anlattığı gibi, özenle hazırlanmış bir talimat, kurban normal bir sohbet sürdürürken kurbanın oturumunun arka planda ek işler yapmasına neden oluyordu.

Gösterimde, gizli talimat ChatGPT'e kurbanın bağlı Gmail hesabından veri çekmesini ve bunu saldırgana teslim etmesini söylüyordu. Kurbanın ekranındaki her şey olağan görünüyordu; gizli çalışma ne bir prompt üretti ne de bir uyarı.

Tekniğin ne kadar uzağa ulaşabileceği, kurbanın hesabının neye erişme yetkisi olduğuna bağlı. Gmail'in ötesinde rapor, Google Drive, Microsoft Teams ve GitHub için olan connector'ları olası hedefler olarak gösteriyor.

Check Point, sonucu bir "vekil aracılığıyla içeriden tehdit" olarak tanımlıyor: Yapay zekâ sisteminin kendisi hiç ihlal edilmedi. Bunun yerine sistem, kuruluşun zaten tanıdığı güven sınırının içinde çalışırken kullanıcının iradesine aykırı biçimde yönlendirildi.

Bir kullanıcının görebileceği tek iz

Ortaya çıkan tek kanıt, erişim gerçekleştikten sonra kaydedilen küçük bir "Gmail ile konuşuldu" etiketiydi. Araştırmacılara göre bu neredeyse tamamen görünür sinyal yokluğu, bu örüntüyü endişe verici kılan şey.

Hugging Face ihlaliyle ortak yön

Check Point ayrıca, testinin OpenAI'ın daha sonra alenen kabul ettiği Hugging Face ihlaline yol açan, aynı Artifactory tabanlı servisteki ayrı bir olaydan daha erken geldiğini açıkladı. İki olay farklı tekniklere dayanıyordu, ancak her ikisi de aynı paylaşılan iç altyapı parçasına dayanıyordu.

Haberde adı geçen bir IDC analisti, eski altyapıda veri yalıtımının tekrar tekrar başarısız olmasının kuruluşların satıcı riskini değerlendirme biçimini değiştirmesi gerektiğini savundu.

Kuruluşlar şimdi ne yapabilir

Analistin önerdiği adımlar, satıcıların önce harekete geçmesine bağlı değil. Connector'lara mümkün olan en dar kapsamı tanıyın; takvim erişimi verirken Gmail ve Drive'ı da açığa çıkarmamak, olası bir sızıntının ne kadarını ortaya çıkarabileceğini sınırlar. Bağlı uygulama trafiğini veri incelemesinden geçirin, böylece hassas içerik çıkmadan yakalanır. Her okuma ve yazmayı, zaman damgaları ve veri türleriyle birlikte kaydedin ve bu kayıtları kendi olay yönetimi araçlarınıza besleyin. Analist, bu günlük kaydı olmadan bu tür sızıntıların altta yatan açık onarıldıktan sonra bile görünmez kalacağını belirtti.

Yazıdaki iki uyarıyı akılda tutmakta fayda var. Birincisi, açık kapandı ve servis ortadan kalktı; buradaki değer spesifik hatadan çok risk örüntüsü. İkincisi, saldırı OpenAI'ın iç altyapısının bilinmesini gerektiriyordu ve yalnızca belirli koşullar altında çalışıyordu; yani rastgele, fırsatçı bir saldırı değildi.

Neden önemli

Bu, yaygın şekilde kullanılan bir yapay zekâ asistanının, salt teorik bir prompt enjeksiyonu alıştırması değil, gerçek hesaplar arasındaki veri hırsızlığı için taşıma katmanı olarak suistimal edildiğinin belgelenmiş nadir örneklerinden biri. Yapay zekâ sistemi posta, dosyalar ve iş yeri sohbetine bağlandığında her connector'ın saldırı yüzeyini genişlettiğini ve bu bağlantıların suistimal edilip edilemeyecelerinin yalnızca model düzeyinde değil altyapı düzeyindeki yalıtım garantileri tarafından belirlendiğini gösteriyor. Analistin satıcılara sorulmasını önerdiği soru şu: Son on iki ayda kaç veri yalıtımı hatası kaydettiniz ve her birinin ardından hangi yapısal değişiklikler yapıldı. Bireyler ve ekipler için pratik çıkarım en az ayrıcalk ilkesi: hesaplarınıza hangi uygulamaların bağlı olduğunu denetleyin ve artık kullanmadıklarınızın bağlantısını kesin.