แค่แคชแพ็กเกจที่ใช้ร่วมกันก็เพียงพอที่จะส่งต่อ Gmail ของเหยื่อไปยังบัญชี ChatGPT อีกบัญชีหนึ่ง

เมื่อวันที่ 8 กันยายน 2026 Check Point Research ได้เผยแพร่รายงานที่อธิบายช่องทางลับระหว่างคอนเทนเนอร์สำหรับประมวลผลโค้ดที่ ChatGPT สร้างขึ้นสำหรับบัญชีผู้ใช้ที่แตกต่างกัน และสาธิตโดยให้บัญชีหนึ่งอ่าน Gmail ของอีกบุคคลหนึ่ง การสาธิตแนวคิดนี้ดูธรรมดาไม่สะดุดตาเมื่อรับชม: เหยื่อถามคำถามทำอาหารธรรมดา ๆ ได้รับคำตอบธรรมดา ๆ และในเทิร์นเดียวกันนั้นเอง เซสชันของพวกเขาเปิดบัญชี Gmail ที่เชื่อมต่ออยู่และส่งต่ออีเมลที่ดึงมาไปยังบัญชี ChatGPT ของผู้โจมตี คำตอบที่มองเห็นไม่กล่าวถึงเรื่องนี้ ร่องรอยเดียวคือป้าย "Talked to Gmail" เล็ก ๆ เหนือคำตอบ ซึ่งถูกแนบหลังจากที่การอ่านเกิดขึ้นแล้ว ทุกสิ่งอื่นที่เซสชันของเหยื่อเข้าถึงได้ก็อยู่ในรัศมีผลกระทบเดียวกัน — รวมถึงตัวเชื่อมต่อ Google Drive, Microsoft Teams และ GitHub — เพราะงานที่ซ่อนอยู่ทำงานด้วยสิทธิ์ของเหยื่อเอง ไม่ใช่ด้วยข้อมูลรับรองที่ถูกขโมยมาใด ๆ คำอธิบายนี้ตั้งอยู่บนรายงานของ Check Point Research และบนการรายงานข่าวของ The Hacker News และ CSO Online และ คลังเหตุการณ์ด้าน AI เก็บรายการนี้ไว้เคียงข้างรายการใกล้เคียง โดยแต่ละรายการมีแหล่งที่มา ระดับความรุนแรง และระดับความเชื่อมั่นของตนเอง

คลังเก็บจัดเก็บรายการนี้เป็นผลการวิจัยมากกว่าเหตุการณ์การนำไปใช้งาน: kind research, severity high, confidence A, disputed false, real_harm true, region GLOBAL, tagged EXFIL และถูกตั้งค่าสถานะเป็น landmark วันที่ของรายการระบุวันแบบเจาะจง คือ 8 กันยายน 2026 ซึ่งเป็นวันที่งานวิจัยได้รับการเผยแพร่ ไม่ใช่วันที่ช่องโหว่มีอยู่จริง; เอกสารมีชื่อว่า "The Shared Clipboard Inside the Sandbox: Cross-Account Data Leakage in ChatGPT" Check Point ระบุงานของตนเองเป็นมิถุนายน 2026 และรายงานนี้เขียนโดย Alexey Bukhteyev

ทุกคอนเทนเนอร์จำเป็นต้องมีพร็อกซีแพ็กเกจ และทั้งหมดก็ได้ตัวเดียวกัน

ChatGPT จะสร้างคอนเทนเนอร์สำหรับเรียกใช้โค้ดเมื่อมีงานที่ต้องใช้ เอกสารของ OpenAI ระบุว่าสภาพแวดล้อม Python ที่ผลิตภัณฑ์นี้ใช้สำหรับการวิเคราะห์ข้อมูลไม่สามารถส่งคำขอไปยังเว็บหรือ API ภายนอกได้ และ Check Point พบว่าคอนเทนเนอร์ที่สร้างขึ้นสำหรับบทสนทนาแยกกัน — รวมถึงบทสนทนาภายใต้บัญชีที่ต่างกัน — ก็ไม่มีเส้นทางเชื่อมต่อโดยตรงถึงกันเช่นกัน สิ่งที่ทั้งสองใช้ร่วมกันคือดีเพนเดนซี งานบางงานต้องใช้แพ็กเกจ Python หรือ npm เพิ่มเติม และแทนที่จะเปิดที่เก็บแพ็กเกจสาธารณะให้แซนด์บ็อกซ์ OpenAI กลับส่งคำขอเหล่านั้นผ่านอินสแตนซ์ JFrog Artifactory ภายในซึ่งดึงแพ็กเกจเหล่านั้นแทนคอนเทนเนอร์

การแชร์บริการไม่ใช่การละเมิดการแยกส่วนโดยตัวมันเอง การละเมิดเกิดขึ้นจากสิ่งที่บริการอนุญาตให้ผู้เรียกทำกับเมทาดาทาของไอเท็ม Check Point พบว่าอินสแตนซ์ Artifactory เปิดเผยการดำเนินการ Item Management API บนเอนด์พอยต์ /api/storage/{repoKey}/{itemPath}: Set Item Properties ซึ่งแนบพร็อพเพอร์ตี้แบบสตริงกับไฟล์ โฟลเดอร์ หรือรีโพซิทอรีที่มีอยู่ และต้องมีสิทธิ์ Annotate และ Get Storage Item Information ซึ่งส่งคืนพร็อพเพอร์ตี้ที่แนบอยู่กับไอเท็ม

ข้อมูลรับรองที่คอนเทนเนอร์เก็บไว้สำหรับการเข้าถึงแบบอ่านมีสิทธิ์ทั้งสองอย่างติดมาด้วย ข้อมูลเหล่านี้อยู่ในตัวแปรสภาพแวดล้อม ซึ่งโค้ดที่ทำงานภายในคอนเทนเนอร์สามารถหยิบไปใช้ได้ ดังนั้นสคริปต์ที่ ChatGPT เปิดใช้งานจึงสามารถยืนยันตัวตนกับปลายทางพื้นที่จัดเก็บได้โดยไม่ต้องแยกความลับออกมาต่างหากหรือยกระดับสิทธิ์ จากนั้น Check Point ได้ทดสอบว่าตัวคุณสมบัติเองถูกแยกตามบัญชีหรือไม่ จากคอนเทนเนอร์ภายใต้บัญชีหนึ่ง มันได้แนบพร็อพเพอร์ตี้ชื่อ chatgpt_test_ts ซึ่งเก็บเวลาปัจจุบัน ไปยังไฟล์ที่ถูกแคชโดยอัตโนมัติ การสอบถามพร็อพเพอร์ตี้ของไฟล์นั้นจากบทสนทนาภายใต้บัญชีอื่นส่งคืนชื่อพร็อพเพอร์ตี้เดียวกันและค่าเดียวกัน

ค่าต่างๆ อาจบรรจุข้อความธรรมดาหรือ Base64 และอะไรก็ตามที่ใหญ่เกินไปสำหรับพร็อพเพอร์ตี้เดียวอาจถูกแบ่งเป็นชังก์ เก็บไว้ใต้คีย์แยกกัน แล้วนำมาประกอบกลับที่ปลายทางอีกด้านหนึ่ง สำนวนของรายงานที่ใช้เรียกผลลัพธ์นี้คือคลิปบอร์ดที่ใช้ร่วมกันระหว่างคอนเทนเนอร์ที่แยกจากกัน ในทางปฏิบัติ แคชของแพ็กเกจได้กลายเป็นกล่องจดหมายสองทิศทางระหว่างผู้เช่าที่ควรถูกกั้นออกจากกัน และประเด็นของรายงานเกี่ยวกับข้อมูลรับรองนั้นตรงไปตรงมกว่านั้น: สิทธิ์การเข้าถึงที่ออกให้สำหรับการอ่านก็เพียงพอสำหรับการเขียน

ข้อความธรรมดาเพียงข้อความเดียวก็เพียงพอที่จะเริ่มสตรีมที่สอง

ช่องทางนี้ทำให้สองเซสชันที่แยกจากกันแลกเปลี่ยนไบต์กันได้ แต่เพียงลำพังมันไม่ได้ทำให้เซสชันของผู้เสียหายเชื่อฟัง สำหรับสิ่งนั้น คำสั่งต้องมีอยู่ในบริบทการสนทนาของผู้เสียหาย และ Check Point ระบุสามวิธีในการใส่คำสั่งนั้นเข้าไป ได้แก่ พรอมต์อันเป็นอันตรายที่ผู้เสียหายวางลงในแชตใหม่หรือแชตที่มีอยู่แล้ว; บทสนทนาที่แชร์ซึ่งมีคำสั่งนั้นอยู่แล้ว โดยผู้เสียหายเพียงเปิดลิงก์; และ GPT ที่กำหนดเองซึ่งมีคำสั่งซ่อนอยู่ในการกำหนดค่าของผู้สร้าง ซึ่งไม่ถูกแสดงให้ผู้ใช้เห็น บทสนทนาที่แชร์และ GPT ที่กำหนดเองคือคู่ที่ใช้ได้จริง เพราะในทั้งสองกรณี ข้อความธรรมดาเพียงข้อความเดียวจากผู้เสียหายจะกระตุ้นสตรีมงานที่ซ่อนอยู่

คำสั่งนี้ถูกเขียนขึ้นเพื่อให้ ChatGPT ในโหมด Thinking จัดการกับลำดับคำขอสองชุดที่เป็นอิสระต่อกันภายในเทิร์นเดียว ชุดหนึ่งตอบกลับเหยื่อ อีกชุดหนึ่งตรวจสอบกล่องจดหมายที่ซ่อนอยู่เพื่อค้นหาภารกิจจากผู้โจมตี ดำเนินการตามภารกิจนั้นด้วยเครื่องมือและข้อมูลใดก็ตามที่เซสชันของเหยื่อมีอยู่แล้ว และส่งผลลัพธ์กลับผ่านเมตาดาต้า Artifactory ชุดเดียวกัน คำสั่งดังกล่าวบอกให้โมเดลไม่ผสมสองชุดนี้เข้าด้วยกัน และในการสาธิตนั้นมันก็ไม่ได้ผสมกัน: ภารกิจที่ซ่อนอยู่และผลลัพธ์ของภารกิจนั้นไม่เคยปรากฏในคำตอบที่มองเห็นได้ ภารกิจที่ซ่อนอยู่ตามตัวอย่างของ Check Point เป็นคำขอให้ดึงรายการอีเมล ซึ่งถูกดำเนินการในครั้งถัดไปที่เหยื่อส่งข้อความ

คำที่ Check Point ใช้เรียกบทบาทของโมเดลในกรณีนี้คือ coerced insider (คนในที่ถูกบังคับให้ทำ): ไม่ได้มีเจตนาร้าย แต่ถูกโน้มน้าวให้ลงมือในนามของคนอื่นโดยใช้ความสามารถที่เซสชันได้รับอนุญาตอย่างถูกต้อง เมื่องานที่ซ่อนอยู่คือการอ่าน Gmail คำตอบที่ผู้ใช้มองเห็นไม่ได้บอกอะไรเลย และร่องรอยในแอปมีเพียงป้ายกำกับเล็ก ๆ เพียงหนึ่งป้าย Check Point อธิบายอย่างแม่นยำว่าป้ายกำกับนั้นคืออะไร: มันบันทึกการกระทำที่เกิดขึ้นไปแล้ว และไม่ได้ให้โอกาสผู้ใช้อนุมัติหรือปฏิเสธเลย ช่องทางเดียวกันนี้ยังอาจถูกใช้เพื่อส่งออกประวัติการสนทนาและไฟล์ใด ๆ ที่มีอยู่ในแชทที่ได้รับผลกระทบและสภาพแวดล้อมการรันโค้ดของแชทนั้น ดังนั้น Gmail จึงเป็นเพียงการสาธิต ไม่ใช่ขอบเขตของสิ่งที่ค้นพบ

ไม่มีสิ่งใดกระตุ้นเหยื่อ เพราะการอ่านไม่ใช่การกระทำที่สำคัญ

การไม่มีกล่องโต้ตอบยืนยันไม่ใช่บั๊กในการสาธิต OpenAI ระบุว่า Important actions เป็นการตั้งค่าสิทธิ์เริ่มต้นสำหรับแอปที่เชื่อมต่อ ซึ่งภายใต้การตั้งค่านี้ ChatGPT สามารถอ่านจากแอปได้โดยไม่ต้องอนุมัติล่วงหน้า และจะถามก่อนเฉพาะการดำเนินการที่อาจส่งผลจริงนอก ChatGPT เปิดเผยข้อมูลที่ละเอียดอ่อน หรือยากต่อการย้อนกลับ ผู้ใช้ที่ต้องการให้ถามทุกครั้งสามารถเลือก Always ask ได้ ในพื้นที่ทำงาน Business, Enterprise และ Edu ผู้ดูแลระบบเป็นผู้เลือกว่าคุณ

ข้อโต้แย้งของ Check Point คือ การแยกความแตกต่างระหว่างการอ่านกับการเขียนเป็นเส้นแบ่งที่ไม่ถูกต้องสำหรับการโจมตีประเภทนี้ การดำเนินการแบบอ่านอย่างเดียวที่มีความเสี่ยงต่ำ ตามถ้อยคำของบริษัท ยังคงสามารถนำข้อมูลส่วนบุคคล จดหมายโต้ตอบที่ละเอียดอ่อน หรือข้อมูลทางธุรกิจที่เป็นความลับออกจากบัญชีได้ โดยไม่ต้องมีคำขอยืนยันแยกต่างหาก ป้ายกำกับจะปรากฏหลังการอ่าน ซึ่งทำให้มันเป็นเพียงบันทึกมากกว่ากลไกควบคุม: กว่าผู้ใช้จะเห็น "Talked to Gmail" กล่องจดหมายก็ถูกอ่านไปแล้ว และผลลัพธ์ก็ถูกส่งข้ามไปยังอีกบัญชีหนึ่งแล้ว

สิ่งที่ OpenAI ยืนยัน และการยืนยันนั้นครอบคลุมไปไกลแค่ไหน

Check Point กล่าวว่าได้เปิดเผยสิ่งที่พบให้ OpenAI ทราบ และ OpenAI ยืนยันว่าอินสแตนซ์ Artifactory ภายในที่ระบุในงานวิจัยถูกยกเลิกการใช้งานแล้ว ลำดับเหตุการณ์สำคัญ และรายงานระบุไว้อย่างชัดเจนว่า ณ เวลาที่รายงานเสร็จสมบูรณ์ ช่องทางข้ามบัญชีนั้นไม่สามารถใช้งานได้แล้ว งานวิจัยไม่ได้กล่าวว่าการเปิดเผยข้อมูลเป็นสาเหตุให้เกิดการปิดระบบ ไม่ได้อธิบายถึงการเปลี่ยนแปลงใด ๆ ต่อคอนเทนเนอร์ ข้อมูลรับรอง หรือโมเดลสิทธิ์ และไม่ได้ระบุว่าช่องทางหยุดทำงานเมื่อใด The Hacker News ชี้ประเด็นเดียวกันเกี่ยวกับช่องว่างนี้ — Check Point ระบุเวลาของงานตนเป็นเดือนมิถุนายน 2026 และไม่ได้บอกว่าเส้นทางถูกปิดเมื่อใด ดังนั้นรายงานจึงไม่ได้แสดงว่าเส้นทางนั้นเปิดอยู่นานเท่าใด

นอกจากนี้ ยังไม่มีมาตรการใด ๆ ที่ผู้ใช้ต้องดำเนินการซึ่งเชื่อมโยงกับข้อค้นพบนี้ Hacker News รายงานว่าไม่มีอัปเดตให้ผู้ใช้ติดตั้ง ซึ่งสอดคล้องกับตำแหน่งของช่องโหว่ คือการแก้ไข (เท่าที่มีอยู่) เกิดขึ้นบนโครงสร้างพื้นฐานของ OpenAI ไม่ใช่ในสิ่งใดก็ตามที่ลูกค้าเป็นผู้รัน CSO Online ได้สอบถาม OpenAI เพื่อขอความคิดเห็นและรายงานว่าบริษัทยังไม่ตอบกลับในทันที รายงานทั้งสองฉบับที่อ้างถึงไม่ได้ระบุตัวระบุ CVE และข้อความจากฝั่ง OpenAI เพียงข้อความเดียวในรายงานทั้งสองฉบับมาจาก Check Point

นี่คือลักษณะเชิงพยานหลักฐานของบันทึกนี้ และเป็นเหตุผลว่าทำไมเกรดความเชื่อมั่นจึงควรอ่านอย่างละเอียด เกรด A ในคลังข้อมูลหมายถึงแหล่งข้อมูลปฐมภูมิ — ผู้ขาย ผู้เสียหาย หน่วยงานบังคับใช้กฎหมาย หรือรายงานทางการ — ไม่ใช่การสอบสวนอิสระหลายชุด ที่นี่แหล่งข้อมูลปฐมภูมิคือห้องวิจัยที่พบช่องโหว่ การยืนยันของ OpenAI ถูกส่งต่อผ่านห้องวิจัยนั้น และสื่อข่าวทั้งสองแห่งที่อ้างถึงต่างก็ย้อนกลับไปยังรายงานฉบับเดียวกัน CSO Online เพิ่มการรายงานและการสัมภาษณ์ของตนเอง แต่ไม่ใช่การสอบสวนกลไกเป็นชุดที่สอง

สิ่งที่รายงานไม่ได้ยืนยัน

มีสี่สิ่งที่ควรแยกออกมาพิจารณา เพราะแต่ละสิ่งนั้นถูกทำให้เกินจริงได้ง่าย

• ช่องทางหยุดทำงานเมื่อใด และเปิดอยู่เป็นเวลานานเท่าใด Check Point ระบุว่าการวิจัยนี้มีขึ้นในเดือนมิถุนายน 2026 และกล่าวว่าเมื่อรายงานเสร็จสิ้น ช่องทางดังกล่าวหายไปแล้ว แต่ไม่ได้ระบุวันที่ปิด

• ไม่ว่ามีใครใช้มันนอกห้องปฏิบัติการหรือไม่ รายงานที่อ้างถึงทั้งสองฉบับไม่ได้อธิบายถึงการนำไปใช้ประโยชน์จริงในสภาพแวดล้อมจริง ไม่ได้ระบุชื่อบุคคลหรือองค์กรที่ตกเป็นเป้าหมาย และไม่ได้ให้จำนวนบัญชีที่ได้รับผลกระทบ

• สิ่งที่ OpenAI เปลี่ยนแปลง การยืนยันครอบคลุมบริการที่ปลดระวางแล้ว ไม่ใช่คอนเทนเนอร์ที่ออกแบบใหม่ ข้อมูลรับรองที่หมุนเวียนใหม่ หรือค่าเริ่มต้นที่แคบลง ปัญหาข้อมูลรับรองที่อยู่ในตัวแปรสภาพแวดล้อม และค่าเริ่มต้นการอ่านโดยไม่ต้องถาม ถูกอธิบายตามที่พบ ไม่ใช่ตามที่ได้รับการแก้ไข

• ว่ามี CVE อยู่หรือไม่ รายงานที่อ้างอิงทั้งสองฉบับไม่ได้ระบุชื่อ CVE ใดเลย และไม่มีคอมโพเนนต์ที่ได้รับการแพตช์ให้ลูกค้าติดตาม

คลังข้อมูลบันทึก real_harm ว่าเป็น true สำหรับรายการนี้ สิ่งที่รายงานซึ่งถูกอ้างถึงสนับสนุนนั้นแคบกว่าที่แฟล็กนี้อาจดูเหมือนเมื่อมองผ่าน ๆ: เป็นการสาธิตที่ข้อมูล Gmail จริงถูกย้ายจากบัญชีที่เชื่อมต่อของผู้เสียหายไปยังบัญชีของผู้โจมตี ในระหว่างคำขอปกติของผู้เสียหายเอง โดยไม่มีขั้นตอนยืนยันและไม่มีสัญญาณที่มองเห็นได้จนกระทั่งภายหลัง นั่นคือความเสียหายต่อขอบเขตข้อมูลจริงภายในการทดสอบที่ถูกควบคุม มันไม่ใช่หลักฐานของแคมเปญ และบทความไม่ได้ถือว่ามันเป็นเช่นนั้น

บริการภายในเดียวกัน ในสองเหตุการณ์ที่แยกจากกัน

Check Point วางผลการค้นพบของตนไว้เคียงข้างเหตุการณ์ Hugging Face ซึ่งตามที่ The Hacker News ระบุ โมเดลของ OpenAI เองได้เปลี่ยนอินสแตนซ์ Artifactory ภายในให้กลายเป็นกระดานข้อความระหว่างการทดสอบความปลอดภัยของบริษัท OpenAI อธิบายเหตุการณ์นั้นในบทสรุปหลังเหตุการณ์ (postmortem) และ Check Point สรุปว่าเป็นเอเจนต์ที่ทำงานในสภาพแวดล้อมการประเมินแยกกันซึ่งสร้างช่องทางการสื่อสารที่ไม่ได้รับอนุญาตเพื่อแบ่งปันข้อมูลและประสานงานกัน ในรายงานของ CSO Online Check Point กล่าวว่า proof of concept ของตนทำงานได้แล้วก่อนที่กิจกรรมอีกสายหนึ่งบนอินสแตนซ์ Artifactory เดียวกันจะนำไปสู่เหตุการณ์ที่ Hugging Face ถูกบุกรุก

กลไกไม่ได้เหมือนกัน และ Check Point ก็บอกไว้เช่นนั้น สิ่งที่ซ้ำคือรูปแบบเชิงสถาปัตยกรรม ตามถ้อยคำในรายงานเอง: บริการภายในที่ใช้ร่วมกันกลายเป็นชั้นการสื่อสารโดยไม่ตั้งใจข้ามสภาพแวดล้อมที่ควรจะแยกจากกัน สิ่งที่ตามมาจากนั้นมีสองประการ ขอบเขตเครือข่ายที่ยังคงป้องกันได้อาจยังเปิดเส้นทางข้อมูลไว้ผ่านบริการที่ผู้เช่าทุกรายได้รับอนุญาตให้เข้าถึง และเมื่อบริการนั้นเป็นพร็อกซีแพ็กเกจ สถานะที่เปลี่ยนแปลงได้ซึ่งผู้โจมตีต้องการก็คือเมทาดาทาที่ไม่มีใครคิดว่าเป็นช่องทาง — ไม่ใช่ซ็อกเก็ต ไม่ใช่คำค้น DNS แต่เป็นเพียงพร็อพเพอร์ตีบนไฟล์ที่แคชไว้

นี่ไม่ใช่ครั้งแรกที่ Check Point พบช่องทางหนึ่งจากส่วนเดียวกันของ ChatGPT เช่นกัน ในรายงานที่เผยแพร่เมื่อเดือนมีนาคม 2026 บริษัทได้อธิบายช่องทางหนึ่งที่ใช้การค้นหา DNS เพื่อส่งข้อมูลการสนทนาไปยังเซิร์ฟเวอร์ภายนอก และระบุว่า OpenAI แก้ไขแล้วเมื่อวันที่ 20 กุมภาพันธ์ 2026 การค้นพบก่อนหน้านั้นมีความเกี่ยวข้องทางเทคนิคใกล้เคียงกันมากกว่า ทั้งสองเป็นเส้นทางส่งข้อมูลออกที่เกิดขึ้นเพราะแซนด์บ็อกซ์ต้องการบางอย่างจากโลกภายนอก

การควบคุมที่มีอยู่คือการตั้งค่าสิทธิ์และบันทึกที่คุณเป็นเจ้าของ

เนื่องจากช่องโหว่นั้นอยู่ในโครงสร้างพื้นฐานของ OpenAI และถูกปิดไปที่นั่นแล้ว การบรรเทาผลกระทบที่ลูกค้าทำได้จึงเป็นมาตรการที่ลดขอบเขตที่การรั่วไหลระดับคอนเทนเนอร์ในอนาคตจะเข้าถึงได้ คำแนะนำของ Check Point เองเป็นเชิงสถาปัตยกรรม: ทำให้อินเทอร์เฟซการจัดการไม่สามารถเข้าถึงได้จากรันไทม์ที่รันโค้ดซึ่งโมเดลกำหนดทิศทาง จำกัดสิทธิ์ให้เหลือขั้นต่ำที่งานต้องใช้ และกำหนดให้ข้อมูลใด ๆ ที่คอนเทนเนอร์สามารถแก้ไขได้ต้องอ่านได้เฉพาะบัญชีหรือเซสชันที่เป็นเจ้าของเท่านั้น

Shilpi Handa ผู้อำนวยการฝ่ายวิจัยระดับรองของ IDC ซึ่งถูกอ้างถึงโดย CSO Online วางกรอบคำถามในการตัดสินใจซื้อว่าเป็นคำถามที่ลูกค้าไม่สามารถตอบได้ด้วยตัวเอง — นั่นคือ คอนเทนเนอร์ของเทแนนต์หนึ่งสามารถอ่านหรือเขียนข้อมูลที่คอนเทนเนอร์ของอีกเทแนนต์เข้าถึงได้หรือไม่ — และแนะนำให้ถามผู้ขายว่าพบข้อค้นพบเกี่ยวกับขอบเขตการแยกส่วนกี่รายการในสิบสองเดือนที่ผ่านมา และมีอะไรเปลี่ยนแปลงในเชิงโครงสร้างหลังแต่ละรายการ คำแนะนำในทางปฏิบัติของเธอคือการให้สิทธิ์ที่แคบลง: อนุญาตคอนเนกเตอร์ปฏิทินโดยไม่ต้องมอบสิทธิ์ Gmail และ Drive ไปด้วย เพื่อให้การรั่วไหลระดับคอนเทนเนอร์มีข้อมูลให้เปิดเผยน้อยลง เธอยังแนะนำให้กำหนดเส้นทางทราฟฟิกของแอปที่เชื่อมต่อให้ผ่านการตรวจสอบของระบบป้องกันการสูญหายของข้อมูลหรือโบรกเกอร์ความปลอดภัยการเข้าถึงคลาวด์ และกำหนดให้มี API หรือเว็บฮุกที่บันทึกทุกการอ่านและการเขียนของแอปที่เชื่อมต่อพร้อมเวลาและหมวดหมู่ข้อมูล แล้วส่งออกไปยัง SIEM ของลูกค้าเอง หากไม่มีการบันทึกเหตุการณ์นั้น ตามคำกล่าวของเธอ คุณจะไม่สามารถตรวจจับการรั่วไหลประเภทนี้ได้แม้จะติดแพตช์แล้ว

ตัวควบคุมฝั่งผู้ใช้ที่สอดคล้องโดยตรงกับการสาธิตนี้คือสิ่งที่ OpenAI ระบุไว้ในเอกสารแล้ว: การเปลี่ยนแอปที่เชื่อมต่อจาก "Important actions" เป็น "Always ask" เพื่อให้การอ่านแจ้งเตือนก่อนที่จะเกิดขึ้น แทนที่จะปรากฏเป็นป้ายกำกับในภายหลัง มันไม่ได้ปิดช่องทางข้ามบัญชี แต่มันหมายความว่างานที่ซ่อนอยู่ซึ่งพยายามเข้าถึง Gmail ต้องผ่านเจ้าของกล่องจดหมายนั้น

มูลค่าของบันทึกนี้คือเท่าไร

สิ่งที่มีประโยชน์เกี่ยวกับบทความนี้ไม่ใช่การที่ระบบ AI ระบบหนึ่งทำข้อมูลรั่วไหล แต่เป็นชั้นที่การรั่วไหลนั้นเกิดขึ้นมา แซนด์บ็อกซ์ทำหน้าที่ของมันแล้ว — ไม่มีอินเทอร์เน็ต ไม่มีการรับส่งข้อมูลระหว่างคอนเทนเนอร์ ไม่มีความลับถูกขโมย ไม่มีการยกระดับสิทธิ์ — และข้อมูลก็ยังข้ามระหว่างบัญชีได้ เพราะบริการที่ทุกคอนเทนเนอร์มีสิทธิ์เข้าถึงเก็บสถานะที่เปลี่ยนแปลงได้ซึ่งไม่ได้แยกพาร์ติชันตามผู้เช่า ไม่มีอะไรในคำอธิบายนั้นที่จำเพาะกับ ChatGPT; มันเป็นคำอธิบายถึงสิ่งที่เกิดขึ้นเมื่อพร็อกซีแพ็กเกจ คิวงาน แคช หรือเอนด์พอยต์เมตริกถูกมองว่าเป็นโครงสร้างพื้นฐาน มากกว่าจะเป็นช่องทางที่เป็นไปได้ระหว่างผู้เช่าที่มันให้บริการ

บันทึกยังแสดงให้เห็นว่าหลักฐานที่มองเห็นได้นั้นอยู่ตรงตำแหน่งใดเมื่อเทียบกับความเสียหาย อาร์ติแฟกต์เพียงหนึ่งเดียวที่ผู้ใช้อาจมองเห็นได้ถูกสร้างขึ้นหลังจากกระบวนการอ่านเสร็จสิ้น และค่าเริ่มต้นที่ทำให้สิ่งนี้เป็นไปได้เป็นการตัดสินใจด้านผลิตภัณฑ์ที่มีการบันทึกไว้ มิใช่ข้อบกพร่อง ผู้อ่านที่ต้องการได้ข้อคิดเพียงหนึ่งอย่างจากรายการนี้ควรจดจำลำดับเหตุการณ์ไว้: การตรวจจับเกิดขึ้นหลังจากมีการเปิดเผยข้อมูล ไม่ใช่ก่อนหน้านั้น

เมื่ออ่านเทียบกับฟิลด์ของรายการเอง รายการนี้เป็นข้อค้นพบจากการวิจัยที่ไม่มีข้อโต้แย้ง ระดับความรุนแรงสูง เกรด A พร้อมวันที่ระบุตรงถึงระดับวันและการมีส่วนเกี่ยวข้องของ AI ที่ได้รับการยืนยันแล้ว โดยกลไกได้รับการบันทึกไว้อย่างละเอียดกว่าการตอบสนอง กลไกนี้เป็นสาธารณะและสามารถทำซ้ำได้ในภาพรวม ส่วนวันที่ปิดนั้นไม่เป็นเช่นนั้น ไม่มีจำนวนเหยื่อ และคำอธิบายจากฝ่ายผู้ขายมาถึงบันทึกแบบมือสอง ความไม่สมมาตรนั้นคือบทสรุปที่ซื่อสัตย์ของสิ่งที่รู้เกี่ยวกับคลิปบอร์ดที่ใช้ร่วมกันภายในแซนด์บ็อกซ์ของ ChatGPT