Il a répondu à une question de cuisine et lu le Gmail de la victime en même temps

Dans la démonstration de Check Point, la victime a posé à ChatGPT une question de cuisine. Pendant que l'assistant y répondait, la même session est allée dans son compte Gmail connecté, en a extrait des données de messagerie et les a transmises à un inconnu. La réponse visible n'en disait rien. La seule trace était une petite mention "Talked to Gmail", et elle n'apparaissait qu'une fois la lecture déjà terminée.

La recherche est sortie le 8 septembre et décrit une brèche entre comptes qui n'aurait jamais dû exister. Quand ChatGPT exécute du code, il le fait dans un conteneur étanche, sans route vers internet, et les conteneurs appartenant à des personnes différentes sont censés s'ignorer. Tous pouvaient pourtant atteindre un même service interne : une instance JFrog Artifactory qui distribue des paquets logiciels, et qui laissait n'importe quel conteneur épingler de petites notes sur des fichiers en cache puis les relire plus tard. Check Point appelle cela un presse-papiers partagé. Un attaquant y inscrivait des tâches, la session d'une victime allait les chercher, et ces tâches s'exécutaient avec les autorisations dont disposaient déjà les applications connectées de cette personne. Tout déclencher ne demandait presque rien à la victime : une invite collée dans une conversation, un lien de conversation partagée, ou un GPT personnalisé portant une instruction cachée dans sa configuration.

Check Point a trouvé cela en juin et OpenAI a depuis mis hors service l'instance Artifactory concernée : il n'y a donc rien à mettre à jour chez vous, et aucun indice que quiconque ait réellement été attaqué de cette façon. Ce qui survit au correctif, c'est le réglage qui se cache derrière. Si vous avez relié Gmail, Drive ou un agenda à ChatGPT, le niveau d'autorisation par défaut lui permet d'y lire sans rien demander, et vous ne l'apprenez qu'après coup. Dans les paramètres des connecteurs, il existe une option plus stricte, Always ask, qui place une demande d'accord devant chaque lecture.

À faire, donc : basculez vos connecteurs sur Always ask, et traitez un lien ChatGPT partagé ou le GPT personnalisé d'un inconnu comme vous traiteriez une pièce jointe venue d'une adresse que vous ne reconnaissez pas. Le contrôle Confidentialité et comptes de Tendvane montre à quels comptes votre PC est connecté, un bon point de départ quand vous cherchez à savoir jusqu'où un seul identifiant peut vraiment aller.