Investigadores de Check Point descubrieron un canal oculto entre entornos aislados de ChatGPT que podía aprovechar los permisos ya concedidos al asistente para acceder a correos, archivos y otros datos. OpenAI ha desactivado la infraestructura que hacía posible el ataque.
La creciente integración de la inteligencia artificial en empresas acaba de dejar una advertencia difícil de ignorar: el riesgo ya no depende únicamente de que alguien consiga una contraseña.
Una investigación de Check Point Research ha demostrado que era posible convertir una sesión legítima de ChatGPT en una suerte de intermediario involuntario para ejecutar tareas ordenadas desde otra cuenta. En una prueba de concepto, los investigadores consiguieron que el asistente consultara información de una cuenta de Gmail conectada y la enviara al atacante, mientras el usuario recibía aparentemente una respuesta completamente normal.
El problema fue comunicado a OpenAI y el canal concreto descubierto por los investigadores ya no está disponible. La compañía confirmó a Check Point que había retirado la instancia interna implicada. El episodio, sin embargo, plantea una cuestión mucho más amplia: ¿qué ocurre cuando damos a una IA acceso permanente al correo, documentos y aplicaciones corporativas y una instrucción maliciosa consigue manipular su comportamiento?
El fallo que rompía el aislamiento entre cuentas de ChatGPT
La investigación fue publicada el 8 de septiembre de 2026 por Alexey Bukhteyev, investigador de Check Point, después de que el equipo descubriera el problema inicialmente en junio.
La arquitectura analizada ejecutaba determinadas tareas de ChatGPT dentro de contenedores aislados. Esos entornos estaban diseñados para impedir que diferentes conversaciones y cuentas pudieran comunicarse directamente entre ellas.
Sobre el papel, la separación parecía clara.
El problema apareció en un componente compartido.
Los contenedores podían acceder a una instancia interna de JFrog Artifactory, utilizada como intermediaria para obtener paquetes y dependencias de software sin proporcionar a esos entornos acceso directo a repositorios públicos de Internet.
Check Point descubrió que las credenciales disponibles dentro del contenedor tenían permisos suficientes para escribir y consultar determinadas propiedades asociadas a elementos almacenados en ese servicio.
Y esas propiedades no estaban adecuadamente separadas por cuenta.
Los investigadores realizaron una prueba sencilla: desde el contenedor perteneciente a una cuenta escribieron una propiedad de prueba sobre un archivo almacenado en caché. Después, desde una conversación perteneciente a otra cuenta diferente, consultaron las propiedades del mismo archivo.
El segundo entorno pudo recuperar exactamente el valor escrito por el primero.
Aquello convertía una infraestructura interna compartida en lo que los investigadores describieron gráficamente como un «portapapeles compartido» entre contenedores que debían permanecer aislados.
El canal podía transportar instrucciones y datos entre usuarios
La vulnerabilidad adquiría una dimensión mucho más preocupante porque esas propiedades podían utilizarse para transportar texto y también contenido binario codificado.
Cuando la información era demasiado grande, podía dividirse en varios fragmentos y reconstruirse posteriormente.
El resultado era un canal bidireccional encubierto entre cuentas diferentes de ChatGPT.
No significaba que cualquier usuario pudiera simplemente entrar en la cuenta de otra persona. Para materializar el ataque era necesario conseguir que determinadas instrucciones maliciosas acabaran dentro del contexto utilizado por la sesión de la víctima.
Según Check Point, esa instrucción podía introducirse mediante un prompt malicioso, una conversación compartida o un GPT personalizado.
Una vez activada, la técnica permitía que ChatGPT procesara dos flujos diferentes durante una misma interacción.
Uno era completamente visible: la conversación normal con el usuario.
El segundo permanecía oculto y podía comprobar si existían órdenes del atacante, ejecutarlas utilizando las herramientas disponibles en la sesión de la víctima y devolver posteriormente el resultado por el canal encubierto.
Para la persona que estaba utilizando ChatGPT, la conversación podía continuar aparentemente con normalidad.
Check Point logró extraer información de Gmail
La prueba que demuestra la gravedad potencial del descubrimiento estuvo relacionada con Gmail.
Los investigadores prepararon una conversación compartida que contenía las instrucciones necesarias. La víctima únicamente tenía que abrirla y enviar posteriormente un mensaje normal.
Durante la demostración, ChatGPT respondió a la petición visible del usuario y, simultáneamente, accedió a la cuenta de Gmail que este tenía conectada y transmitió al otro extremo información recuperada del correo electrónico.
El contenido extraído no apareció en la respuesta mostrada a la víctima.
Check Point señala que la única pista visible era una pequeña indicación de que ChatGPT había interactuado con Gmail. El problema era que esa notificación aparecía después de producirse la consulta, por lo que no constituía una autorización previa.
Esto es importante para entender el alcance real de la vulnerabilidad.
No era necesario robar la contraseña de Gmail ni comprometer directamente la cuenta de Google. El ataque aprovechaba el acceso que el propio usuario ya había concedido legítimamente a ChatGPT.
El peligro de los permisos considerados de «bajo riesgo»
Las aplicaciones conectadas introducen una diferencia fundamental respecto a un chatbot tradicional.
Un modelo que únicamente responde preguntas dispone de un radio de acción limitado. Un agente de IA conectado al correo electrónico, almacenamiento en la nube, repositorios de código o herramientas empresariales puede disponer de capacidades considerablemente mayores.
Check Point explica que, bajo la configuración estudiada, determinadas operaciones de lectura podían ejecutarse sin solicitar una confirmación individual al usuario. Las acciones consideradas importantes sí podían requerir aprobación, y existe una configuración más restrictiva para solicitar autorización.
Pero una operación técnicamente clasificada como lectura puede tener consecuencias importantes.
Leer un correo electrónico puede revelar contratos, facturas, conversaciones privadas, información financiera, documentación interna o secretos empresariales.
Ese es precisamente uno de los cambios que introduce la inteligencia artificial agéntica: una operación que individualmente parece inocua puede convertirse en una pieza de una cadena de ataque.
ChatGPT como «insider coaccionado»
Check Point utiliza el concepto de «coerced insider», que puede traducirse como usuario interno coaccionado, para describir el fenómeno.
No significa que ChatGPT desarrollara una intención propia de robar información.
El escenario es diferente: un tercero manipula mediante instrucciones al modelo para que utilice capacidades legítimamente disponibles en beneficio del atacante.
Esta distinción resulta fundamental.
No estamos ante una IA consciente que decide atacar a su propietario ni ante un sistema que espontáneamente intenta escapar de sus controles. Estamos ante un fallo técnico combinado con la capacidad de dirigir mediante lenguaje las acciones del modelo.
El propio informe de Check Point subraya que la magnitud del posible daño dependía de los datos, herramientas, aplicaciones conectadas y permisos disponibles en la sesión de la víctima.
Cuantos más servicios pueda manejar un agente, mayor puede ser el impacto de una ruptura de sus barreras de seguridad.
El problema podía ir más allá de Gmail
Gmail fue la demostración utilizada por los investigadores, pero el principio descubierto no estaba conceptualmente limitado al correo electrónico.
Check Point recuerda que los asistentes modernos pueden trabajar con servicios como Google Drive, Microsoft Teams, GitHub y otras aplicaciones empresariales, siempre dentro de los permisos que tenga concedidos el usuario o su organización.
Además, el canal podía utilizarse para intentar extraer historial de conversaciones y archivos disponibles en el entorno afectado.
Por eso el hallazgo tiene especial relevancia para las empresas.
Las organizaciones están pasando rápidamente de utilizar la inteligencia artificial como herramienta para redactar textos a permitirle buscar información interna, analizar documentos, consultar correos, ejecutar código y actuar sobre aplicaciones corporativas.
Cada integración amplía las posibilidades productivas, pero también incrementa la superficie de ataque.
OpenAI desactivó la infraestructura implicada
Existe una diferencia importante entre una vulnerabilidad descubierta y una vulnerabilidad que continúa siendo explotable.
En este caso, el canal concreto descrito por Check Point ya no estaba disponible cuando terminó el proceso de divulgación.
Los investigadores notificaron sus conclusiones a OpenAI y, según Check Point, la compañía confirmó que la instancia interna de Artifactory utilizada durante la investigación había sido retirada de servicio.
Por tanto, el informe no demuestra que esta misma técnica siga funcionando actualmente en ChatGPT.
Tampoco aporta pruebas de una campaña masiva de explotación contra usuarios reales. Se trata de una investigación de seguridad y una prueba de concepto que demostró técnicamente lo que podía hacerse bajo aquellas condiciones.
Esa precisión es esencial para no convertir un problema serio de seguridad en una alarma injustificada.
La lección que deja el fallo de ChatGPT para las empresas
El descubrimiento apunta a un desafío que probablemente crecerá a medida que los agentes de inteligencia artificial reciban mayores capacidades.
La seguridad tradicional tiende a concentrarse en controlar quién tiene una contraseña, qué dispositivo puede conectarse o qué empleado dispone de determinados permisos.
Con los agentes aparece una nueva capa: quién puede influir sobre las instrucciones que recibe una herramienta que ya dispone de autorización.
El principio de mínimo privilegio cobra así todavía más importancia.
Una empresa debería conocer qué aplicaciones tienen conectadas sus asistentes de IA, limitar los permisos a los estrictamente necesarios, vigilar las operaciones sensibles y evitar que una acción sea considerada inocua únicamente porque sea de lectura.
Check Point sostiene además que los servicios internos compartidos deben mantener un aislamiento efectivo entre cuentas y sesiones, y que las interfaces administrativas no deberían quedar accesibles desde los entornos donde ejecutan código los modelos.
La IA empresarial obliga a replantear el concepto de confianza
La vulnerabilidad de ChatGPT descubierta por Check Point no consistía simplemente en otro robo de contraseña.
El problema era más profundo: el atacante podía intentar utilizar los permisos legítimos de la propia víctima contra ella.
El episodio demuestra también por qué conectar un asistente a Gmail, almacenamiento corporativo, repositorios de código o sistemas internos debe considerarse una decisión de seguridad, y no únicamente una cuestión de comodidad.
OpenAI cerró la vía concreta identificada por los investigadores, pero la conclusión trasciende este fallo. Cuantas más capacidades reciben los agentes de IA, más importante resulta diseñar barreras independientes del comportamiento del modelo.
Porque la seguridad no puede descansar únicamente en esperar que la inteligencia artificial ignore siempre una instrucción maliciosa. Incluso si el modelo se equivoca, la arquitectura debería impedir técnicamente que los datos de un usuario terminen en manos de otro.
