Check Point Research demuestra que una instrucción maliciosa podía convertir una conversación de ChatGPT en un canal encubierto capaz de consultar datos de Gmail y trasladarlos a otra cuenta mientras el usuario recibía una respuesta aparentemente normal. OpenAI ya ha desactivado la infraestructura afectada.
Una vulnerabilidad descubierta en ChatGPT permitió a investigadores de seguridad construir un inquietante escenario: una persona podía hacer una pregunta completamente normal mientras, en segundo plano, el sistema consultaba información de su Gmail conectado y la trasladaba hacia otra cuenta de ChatGPT sin reflejar esa segunda tarea en la respuesta visible.
No se trataba de que cualquier atacante pudiera entrar arbitrariamente en cualquier Gmail. El ataque requería varias condiciones, entre ellas introducir previamente una instrucción maliciosa en el contexto de la conversación y que la sesión de la víctima dispusiera ya de acceso a los datos o aplicaciones que se pretendían consultar.
Pero la demostración realizada por Check Point Research revela un problema de seguridad particularmente relevante a medida que los asistentes de inteligencia artificial dejan de limitarse a responder preguntas y empiezan a manejar correo electrónico, documentos, archivos y aplicaciones externas.
La vulnerabilidad comunicada por los investigadores ya no está operativa. Check Point afirma que notificó el hallazgo a OpenAI y que la compañía confirmó que la instancia interna implicada había sido retirada. Los usuarios no tienen que instalar ningún parche, ya que la corrección se produjo en la infraestructura del servicio.
El ataque a ChatGPT podía comenzar con una simple instrucción
La investigación resulta especialmente llamativa por la forma en la que podía iniciarse.
Check Point identificó tres vías para introducir las instrucciones necesarias: que la propia víctima pegara un prompt malicioso en una conversación, que abriera una conversación compartida que ya contuviese esas instrucciones o que utilizara un GPT personalizado cuya configuración incorporase el comportamiento malicioso.
Una vez introducidas las instrucciones en el contexto, un mensaje ordinario podía activar el mecanismo.
El usuario continuaba viendo la conversación que esperaba.
Pero los investigadores consiguieron que ChatGPT procesara paralelamente una segunda secuencia de instrucciones oculta, separándola del trabajo visible.
En su prueba de concepto, esta segunda tarea utilizaba las capacidades disponibles en la sesión de la víctima para recuperar información de una cuenta de Gmail previamente conectada y trasladarla al atacante.
La víctima recibía una respuesta aparentemente normal
Este es probablemente el aspecto más preocupante de la investigación.
El ataque no necesitaba sustituir la respuesta normal de ChatGPT por un mensaje extraño que pudiera alertar inmediatamente al usuario.
El asistente podía seguir atendiendo la consulta legítima.
Mientras respondía al usuario, ejecutaba el trabajo ordenado por el atacante en paralelo.
Check Point describe el concepto como una especie de «segundo usuario invisible»: el modelo respondía a la persona que tenía delante mientras procesaba instrucciones procedentes de otra parte.
Los investigadores sostienen que el mismo mecanismo podía utilizarse para extraer historial de conversaciones y archivos disponibles dentro del chat y de su entorno de ejecución.
El alcance no era ilimitado. Dependía directamente de los datos, herramientas, aplicaciones conectadas y permisos que ya tuviera disponibles la sesión comprometida.
Gmail eleva el impacto de una vulnerabilidad de ChatGPT
Aquí aparece un problema que trasciende este fallo concreto.
Un chatbot tradicional únicamente conoce aquello que el usuario escribe en la conversación.
Un agente conectado puede tener acceso, según las autorizaciones concedidas, a Gmail, almacenamiento en la nube, herramientas corporativas, repositorios y otros servicios.
Eso multiplica su utilidad.
También multiplica las consecuencias potenciales de una vulnerabilidad.
La documentación actual de OpenAI explica que las aplicaciones conectadas pueden buscar y consultar información de servicios de terceros. Los permisos determinan posteriormente cuándo ChatGPT debe solicitar autorización al usuario.
La configuración predeterminada denominada «Acciones importantes» permite las operaciones de lectura automáticamente, mientras exige autorización para determinadas acciones que puedan tener efectos significativos fuera de ChatGPT, revelar información sensible o resultar difíciles de revertir.
Los usuarios que quieran un control más estricto pueden configurar «Preguntar siempre», haciendo que ChatGPT solicite permiso también antes de leer información mediante una aplicación conectada.
El problema estaba dentro de la infraestructura de ChatGPT
La investigación adquiere todavía más interés desde el punto de vista técnico.
El entorno de Python empleado para determinadas tareas de análisis en ChatGPT está aislado de internet. La propia documentación de OpenAI establece actualmente que ese entorno no puede realizar solicitudes web externas ni llamadas directamente a API externas.
En principio, esa separación reduce considerablemente las posibilidades de sacar información hacia un servidor controlado por un atacante.
Check Point encontró, sin embargo, un camino indirecto dentro de la propia infraestructura.
Los diferentes entornos podían comunicarse con un servicio interno utilizado para proporcionar paquetes de software.
Ese servicio estaba basado en JFrog Artifactory.
La finalidad era razonable: si los contenedores no podían acceder libremente a repositorios públicos de paquetes, una infraestructura interna podía encargarse de proporcionar las dependencias necesarias.
El problema apareció en las propiedades asociadas a los elementos almacenados.
Un servicio interno terminó convertido en un «portapapeles»
Según la investigación, Artifactory permitía asociar a determinados archivos valores denominados propiedades.
Los investigadores descubrieron que las credenciales disponibles dentro del entorno tenían permisos suficientes no solamente para consultar determinada información, sino también para modificar esas propiedades.
Y apareció el fallo crítico: las propiedades no estaban adecuadamente aisladas entre cuentas, según Check Point.
Los investigadores realizaron una prueba.
Desde un contenedor perteneciente a una cuenta añadieron una propiedad denominada chatgpt_test_ts con una marca temporal a un archivo almacenado en caché.
Posteriormente accedieron a las propiedades del mismo archivo desde una conversación perteneciente a otra cuenta.
El valor apareció.
Habían encontrado un canal de comunicación entre entornos que, en principio, debían permanecer aislados.
El canal podía transportar información entre dos cuentas
Las propiedades admitían texto y también contenido codificado en Base64.
Cuando la información era demasiado grande para una única propiedad, podía dividirse en diferentes fragmentos y reconstruirse posteriormente.
De esta manera, según Check Point, el sistema de metadatos de Artifactory podía comportarse como un «portapapeles compartido» entre contenedores de diferentes conversaciones y cuentas.
No hacía falta que ambos entornos se conectasen directamente.
Tampoco era necesario que el contenedor comprometido enviase la información directamente a un servidor público.
El servicio interno compartido actuaba como intermediario.
Es una diferencia técnica importante porque demuestra que aislar un entorno de internet no basta si existen servicios internos compartidos capaces de almacenar información modificable sin una separación adecuada entre usuarios.
El ataque no significa que todos los Gmail estuvieran expuestos
El hallazgo requiere una precisión fundamental.
No significa que un atacante pudiera pedir a ChatGPT que le entregara los correos electrónicos de cualquier usuario.
Para reproducir el escenario descrito por Check Point debían cumplirse determinadas condiciones.
La instrucción maliciosa tenía que entrar primero en el contexto de la conversación y la sesión de la víctima debía contar con las herramientas, conexiones y permisos necesarios para acceder a los datos perseguidos.
El riesgo aumentaba, por tanto, conforme aumentaban las capacidades concedidas al asistente.
Eso conduce a una conclusión importante para la seguridad de la IA: un modelo conectado a cinco servicios diferentes representa una superficie potencial de impacto mayor que otro limitado exclusivamente a generar texto.
No porque las integraciones sean inseguras por definición, sino porque una eventual vulnerabilidad dispone de más recursos sobre los que intentar actuar.
OpenAI retiró el servicio interno afectado
Check Point asegura que comunicó sus conclusiones a OpenAI.
Cuando completó el informe, el canal entre cuentas ya había dejado de estar disponible, y OpenAI confirmó posteriormente que la instancia interna de Artifactory identificada durante la investigación había sido desmantelada.
Por esa razón no existe un parche que los usuarios tengan que descargar o instalar.
La corrección se encuentra del lado del proveedor.
El trabajo de los investigadores se remonta a junio de 2026, aunque el informe no determina durante cuánto tiempo exacto estuvo disponible el canal antes de desaparecer.
No es el primer aviso sobre los nuevos riesgos de los agentes de IA
El caso plantea una cuestión mucho mayor que una vulnerabilidad concreta.
Los modelos de inteligencia artificial están evolucionando hacia agentes capaces de ejecutar código, abrir documentos, consultar correos, utilizar aplicaciones y realizar acciones.
Eso obliga a reconsiderar el modelo tradicional de ciberseguridad.
Una aplicación convencional suele recibir órdenes a través de interfaces y estructuras relativamente delimitadas. Un LLM, por el contrario, interpreta lenguaje natural procedente de múltiples fuentes, y una instrucción puede convertirse en una orden operativa.
La investigación de Check Point resume el riesgo de forma particularmente clara: el propio modelo puede terminar actuando como un usuario interno coaccionado, utilizando capacidades legítimas para ejecutar una finalidad que no corresponde a las intenciones del propietario de la sesión.
Cómo reducir el riesgo al conectar Gmail y otras aplicaciones a ChatGPT
El descubrimiento concreto ha sido corregido, pero deja algunas prácticas útiles para los usuarios.
La más importante es no pegar indiscriminadamente prompts procedentes de fuentes desconocidas, especialmente cuando prometen desbloquear funciones, modificar el comportamiento de ChatGPT o ejecutar automatizaciones.
También merece especial cautela abrir conversaciones compartidas o utilizar GPT personalizados de procedencia desconocida cuando el entorno dispone de acceso a información sensible.
Para quienes utilicen Gmail u otras aplicaciones conectadas con información especialmente delicada, OpenAI permite modificar los permisos desde Configuración → Aplicaciones → Preferencias de aplicaciones → Pedir permiso y seleccionar un nivel más restrictivo.
Elegir «Preguntar siempre» obliga al sistema a solicitar autorización antes de realizar acciones de la aplicación, incluida la lectura de información.
En empresas, además, los administradores pueden establecer qué aplicaciones y acciones están disponibles para sus usuarios.
La gran paradoja de los agentes de IA
Cuantas más herramientas obtiene un asistente, más útil puede resultar y mayores son también las consecuencias de un fallo de aislamiento, permisos o interpretación de instrucciones.
El descubrimiento de Check Point no demuestra que las aplicaciones conectadas sean inherentemente inseguras ni que Gmail esté comprometido. Demuestra algo diferente: la seguridad de un agente moderno ya no depende exclusivamente del modelo.
Depende igualmente de sus permisos, sus herramientas, sus contenedores, las credenciales disponibles durante la ejecución y cada servicio interno al que pueda acceder.
OpenAI ha eliminado el canal descubierto. Pero el episodio deja una advertencia para toda la industria: la próxima gran batalla de la inteligencia artificial no será únicamente conseguir modelos más inteligentes, sino asegurarse de que un agente poderoso solo trabaje para quien realmente debe hacerlo.
