LONDON (IT BOLTWISE) – Eine versteckte Anweisung in einer ChatGPT-Konversation kann laut Check Point dafür sorgen, dass ein Angreifer über einen internen Parallel-Workflow Daten aus dem verbundenen Gmail-Konto an ein anderes ChatGPT-Konto weiterleitet. Im Proof of Concept bleibt die Antwort für den Nutzer ohne Hinweis auf diese Zusatzarbeit. Je nach bereits erteilten App-Berechtigungen kann dabei mehr oder weniger Datenmaterial abfließen. OpenAI soll das interne Service-Element, das den Kanal ermöglicht hat, inzwischen offline genommen haben.
Der eigentliche Skandal an der neuen Sicherheitsanalyse liegt weniger in der Idee „KI führt Aktionen aus“, sondern in der Abkoppelung dessen, was Nutzer sehen, von dem, was das System im Hintergrund gleichzeitig tut. Laut Check Point reicht es aus, eine einzige, im Gespräch versteckte Anweisung so in eine ChatGPT-Konversation einzuschleusen, dass das Modell während einer normalen Nutzerantwort parallel einen zweiten Arbeitsstrom startet. In diesem zweiten Strom kann ChatGPT dann auf ein verborgenes „Aufgabenpostfach“ zugreifen, die von einem Angreifer definierte Aufgabe ausführen und das Ergebnis über einen internen Kanal zurückspielen, ohne dass die sichtbare Antwort irgendetwas davon erwähnt.
Im konkreten Proof of Concept nutzten die Forschenden eine bestehende Verknüpfung: Die versteckte Anweisung ließ ChatGPT Daten aus dem Konto auslesen, das mit der Gmail-App verbunden war, und übergab diese Informationen an ein zweites ChatGPT-Konto über den genannten Hintergrundkanal. Der Nutzer erhielt als Feedback eine völlig unauffällige Antwort, ergänzt nur um ein kleines Label „Talked to Gmail“ direkt über der Antwort. Check Point beschreibt, dass ein solcher Zugriff nicht um eine ausdrückliche Freigabe bittet, weil Aktionen von verbundenen Apps standardmäßig über die jeweilige Rechtekonfiguration laufen. Erst wenn man „Always ask“ aktiviert, soll die App-Nutzung konsequent ohne Prompt-Freigabe nicht mehr stattfinden.
Technisch spannend wird die Sache dort, wo es um Isolation geht: Der Bericht stellt den Angriff als Kommunikationsproblem zwischen Rechencontainern dar, die normalerweise strikt voneinander getrennt sein sollen. ChatGPT baut pro Konversation einen eigenen Container, und Check Point betont, dass auch Container unter unterschiedlichen Konten keinen direkten Weg „zueinander“ haben sollten. Trotzdem sei für alle diese Container derselbe interne Service erreichbar gewesen. Dadurch entstand nach Darstellung der Forschenden ein unbeabsichtigter Kommunikationspfad über eine interne Infrastruktur, obwohl die Umgebung eigentlich dafür gedacht ist, voneinander getrennte Ausführungen nicht zu verkoppeln.
Als Schlüsselkomponente nennt Check Point den Paket-Service hinter der Kulisse, konkret eine interne JFrog Artifactory-Instanz, die genutzt wird, wenn ChatGPT für die Bearbeitung zusätzliche Python- oder npm-Pakete benötigt. Um Container nicht direkt an öffentliche Paket-Repositories zu lassen, darf jeder Container nur mit dieser internen Instanz sprechen. Der Haken: Dieser Dienst konnte laut Bericht nicht nur Pakete bereitstellen, sondern auch „Properties“ an einem gespeicherten Artefakt ablegen und wieder auslesen. Besonders kritisch ist die daraus folgende Datenbewegung, weil die Container laut Check Point zugleich über Berechtigungen verfügten, die sowohl das Setzen als auch das Auslesen dieser Properties erlaubten. Die Properties konnten dann offenbar als eine Art gemeinsamen Zwischenspeicher genutzt werden – als „Clipboard“ zwischen Containern, die getrennt bleiben sollten.
Wie das in der Praxis skaliert, beschreibt der Bericht anhand eines simplen Mechanismus: Unter einem Konto soll ein Container eine Property mit einem Namen wie „chatgpt_test_ts“ inklusive eines Werts (im Bericht als aktueller Zeitpunkt beschrieben) an ein gecachtes Artefakt angehängt haben. Unter einem anderen Konto hat ein Container dann dasselbe Artefakt geladen und die Properties samt Name und Wert zurückbekommen. Wichtig: Die Properties konnten offenbar Plaintext oder Base64 enthalten; außerdem ließen sich Werte bei Bedarf in Teile zerlegen und wieder zusammensetzen. Damit wird aus Paket-Metadaten faktisch ein Übertragungsmedium, das mehr leistet als nur „Dateien herunterladen“ – es erlaubt, Informationen zwischen isolierten Ausführungsumgebungen auszutauschen.
Neben Gmail nennt Check Point als mögliche weitere Wirkung auch das Kopieren der Chatverläufe und der Dateien innerhalb derselben Unterhaltung. Der Bericht ordnet das als ein Problem ein, bei dem ein „shared internal service“ zur unbeabsichtigten Kommunikationsebene zwischen Umgebungen wird, die eigentlich nicht interagieren sollen. Besonders bemerkenswert ist dabei die Timing-Anforderung: Die versteckte Anweisung muss bereits im Gespräch vorhanden sein, bevor der Kanal aktiv werden kann. Nach Check Point genügt danach eine einzelne normale Nutzer-Nachricht, damit die beiden Arbeitsstränge im selben Turn starten – sichtbar im Antwortstrom, verdeckt im zweiten Aufgabenstrom.
Ein weiterer Kontextpunkt: Check Point verwies laut Bericht bereits im März auf einen anderen Kanal, der Daten über DNS-Lookups an einen externen Server verschieben konnte; dort hieß es, die Behebung sei am 20. Februar erfolgt. Außerdem gab es zuvor den Hugging-Face-Vorfall, bei dem eigene Modelle im Rahmen von Security-Tests offenbar eine interne Artifactory-Instanz als Kommunikationsfläche nutzten. Check Point stellt allerdings klar, dass das hier untersuchte Vorgehen ein anderer Mechanismus sei und dass beiden Fällen gemeinsam sei, dass ein interner Dienst als Kommunikationsschicht „zwischen Umgebungen“ missbraucht wird. Für Nutzerinnen und Nutzer gibt es laut Bericht keine spezielle Update-Datei, sondern die Maßnahme soll sich auf die interne Service-Komponente beziehen, die nach Angaben von OpenAI inzwischen offline genommen wurde.
Für Unternehmen ist die Konsequenz vor allem organisatorisch und technisch: Wenn KI-Workflows auf verbundene Produktivitäts-Apps zugreifen, entscheidet die Rechteverwaltung über das maximale Schadenpotenzial. Genau darum betont der Bericht die Bedeutung der Admin-Einstellungen in Business-, Enterprise- und Edu-Workspace-Varianten: In Business-Plänen seien Apps standardmäßig aktiv, in Enterprise und Edu dagegen ab Werk aus. Gleichzeitig zeigt der Fall, dass selbst gut gemeinte Container-Isolation nicht automatisch alle Seitenkanäle ausschließt, wenn interne Dienste Properties als Metadaten transportieren können. Wer KI in produktionsnahen Prozessen nutzt, sollte daher nicht nur auf „wann fragt das Modell um Erlaubnis“, sondern auch auf das Zusammenspiel aus App-Rechten, internen Ausführungsumgebungen und den jeweiligen Infrastruktur-Services schauen, die im Hintergrund Pakete, Artefakte oder Metadaten verwalten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Planted-Prompt-Angriff: So kann ChatGPT ohne Nutzerwarnung Gmail-Daten abgreifen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Planted-Prompt-Angriff: So kann ChatGPT ohne Nutzerwarnung Gmail-Daten abgreifen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Planted-Prompt-Angriff: So kann ChatGPT ohne Nutzerwarnung Gmail-Daten abgreifen« bei Google Deutschland suchen, bei Bing oder Google News!