{"id":91991,"date":"2026-09-11T15:32:52","date_gmt":"2026-09-11T13:32:52","guid":{"rendered":"https:\/\/www.insalutenews.it\/in-salute\/?p=91991"},"modified":"2026-09-11T15:32:16","modified_gmt":"2026-09-11T13:32:16","slug":"lia-che-obbedisce-allhacker-scoperta-una-falla-nellisolamento-di-chatgpt","status":"publish","type":"post","link":"https:\/\/www.insalutenews.it\/in-salute\/lia-che-obbedisce-allhacker-scoperta-una-falla-nellisolamento-di-chatgpt\/","title":{"rendered":"L\u2019IA che obbedisce all\u2019hacker: scoperta una falla nell\u2019isolamento di ChatGPT"},"content":{"rendered":"
\n
\"\"<\/a>
(immagine generata con IA)<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n

Milano, 10 settembre 2026 – Check Point Research (CPR), la divisione di Threat Intelligence di Check Point Software Technologies Ltd. (NASDAQ : CHKP), pioniere e leader globale nelle soluzioni di sicurezza informatica, ha individuato un canale nascosto che consentiva a una sessione di ChatGPT associata a un account di inviare comandi a una sessione completamente separata associata a un altro account, tramite un servizio interno non visibile a nessuno dei due utenti.<\/p>\n\n\n\n

Il canale funzionava tramite un servizio interno di distribuzione dei pacchetti a cui tutti i container di esecuzione del codice di ChatGPT avevano accesso. Tale servizio avrebbe dovuto mantenere quei container isolati l\u2019uno dall\u2019altro, ma consentiva a qualsiasi container di scrivere e leggere dati condivisi che account distinti non avrebbero mai dovuto poter condividere.<\/p>\n\n\n\n

In una dimostrazione dal vivo, la sessione di un attaccante ha estratto dati direttamente dall\u2019account Gmail collegato della vittima, che ha inviato un messaggio ordinario e non ha notato nulla di anomalo, ricevendo solo una normale risposta. Per innescare l\u2019attacco non serviva quasi nulla da parte della vittima: bastava un prompt malevolo, un link condiviso alla conversazione o un custom GPT.<\/p>\n\n\n\n

La lezione pi\u00f9 importante va oltre ChatGPT. Qualsiasi assistente IA dotato di credenziali, accesso agli strumenti e app collegate, pu\u00f2 essere trasformato in ci\u00f2 che CPR definisce un \u201cinsider costretto\u201d, che esegue le istruzioni di un attaccante con le autorizzazioni che la vittima aveva concesso in buona fede.<\/p>\n\n\n\n

Ogni mese le aziende collegano gli assistenti basati sull\u2019Intelligenza Artificiale a una parte sempre pi\u00f9 ampia della propria infrastruttura, dalle caselle di posta elettronica alle unit\u00e0 di archiviazione dei file fino agli strumenti interni, partendo dal presupposto che l\u2019isolamento tra utenti e account sia garantito. Check Point Research ha messo alla prova tale presupposto con ChatGPT e ha trovato un modo per aggirarlo.<\/p>\n\n\n\n

Utilizzando un servizio interno che non era destinato a trasportare dati degli utenti, CPR ha aperto un canale funzionante tra due account ChatGPT completamente separati e lo ha utilizzato per assegnare alla sessione di una vittima un compito proveniente da un perfetto sconosciuto, il tutto mentre la conversazione della vittima stessa appariva del tutto normale.<\/p>\n\n\n\n

Cosa ha effettivamente scoperto Check Point Research?<\/strong><\/h5>\n\n\n\n

CPR ha individuato un canale nascosto bidirezionale tra i container di esecuzione del codice di due conversazioni separate su ChatGPT in esecuzione su account diversi. Un\u2019istruzione appositamente studiata poteva indurre la sessione ChatGPT della vittima a elaborare silenziosamente un secondo flusso di attivit\u00e0 parallelamente alla conversazione che la vittima poteva effettivamente vedere. La risposta visibile appariva del tutto normale. L\u2019attivit\u00e0 nascosta, e il suo risultato, passavano attraverso un canale che la vittima non aveva modo di notare.<\/p>\n\n\n\n

Come funzionava effettivamente l\u2019attacco?<\/strong><\/h5>\n\n\n\n

ChatGPT avvia container isolati per gestire le attivit\u00e0 che richiedono l\u2019esecuzione di codice, e questi a volte devono installare pacchetti software. Per supportare questa operazione senza concedere ai container l\u2019accesso diretto a Internet, OpenAI instrada le richieste di pacchetti attraverso un\u2019istanza interna di JFrog Artifactory. I container di account diversi non possono comunicare direttamente tra loro, ma ogni container pu\u00f2 raggiungere lo stesso servizio interno.<\/p>\n\n\n\n

CPR ha scoperto che il servizio esponeva una funzionalit\u00e0 di gestione degli elementi che consentiva a qualsiasi container di associare propriet\u00e0 di testo o binarie a un elemento del repository e di rileggerle. Le credenziali di lettura gi\u00e0 disponibili all\u2019interno di ogni container erano sufficienti per eseguire entrambe le operazioni. CPR ha confermato direttamente la falla nell\u2019isolamento: una propriet\u00e0 scritta dal container di un account era pienamente leggibile dal container di un altro account pochi istanti dopo, con i dati troppo grandi per una singola propriet\u00e0 semplicemente suddivisi in blocchi e ricomposti dall\u2019altra parte. I metadati relativi alla consegna dei pacchetti diventavano di fatto appunti condivisi tra i container che avrebbero dovuto essere isolati.<\/p>\n\n\n\n

Da l\u00ec, la sessione di un malintenzionato avrebbe potuto scrivere un\u2019attivit\u00e0 in quell\u2019archivio condiviso. Bastava una singola istruzione inserita di nascosto, trasmessa tramite un prompt malevolo, una conversazione condivisa o un GPT personalizzato, per indurre la sessione della vittima a controllare quella stessa memoria durante la sua successiva risposta normale. Se un’attivit\u00e0 era in attesa, ChatGPT l’avrebbe eseguita utilizzando qualsiasi azione per cui la sessione della vittima avesse gi\u00e0 il permesso, avrebbe riscritto il risultato nella memoria condivisa e avrebbe risposto alla vera domanda della vittima come se nulla fosse accaduto.<\/p>\n\n\n\n

A quali dati potrebbe effettivamente accedere un malintenzionato?<\/strong><\/h5>\n\n\n\n

La portata dell\u2019attacco dipendeva interamente da ci\u00f2 a cui la sessione della vittima era gi\u00e0 autorizzata ad accedere. Ci\u00f2 includeva la cronologia delle conversazioni e i file all\u2019interno della chat interessata, oltre a tutto ci\u00f2 che era disponibile tramite le app collegate della vittima, come Gmail, Google Drive, Microsoft Teams o GitHub. Nella dimostrazione di CPR, ChatGPT ha recuperato i dati e-mail della vittima tramite il suo account Gmail collegato e li ha trasmessi alla sessione dell\u2019autore dell\u2019attacco, il tutto nel corso di un singolo turno ordinario.<\/p>\n\n\n\n

La vittima difficilmente se ne sarebbe accorta. L\u2019impostazione predefinita di ChatGPT per le app collegate approva automaticamente le azioni di lettura che considera a basso rischio, senza una fase di conferma separata. L\u2019unica traccia osservata da CPR era una piccola etichetta \u201cTalked to Gmail\u201d allegata alla risposta, registrata dopo che la lettura era gi\u00e0 avvenuta. Ha registrato ci\u00f2 che \u00e8 accaduto, ma non ha dato alla vittima la possibilit\u00e0 di impedirlo.<\/p>\n\n\n\n

L\u2019attacco oggi non \u00e8 pi\u00f9 possibile. CPR ha segnalato la scoperta a OpenAI, che ha confermato che la specifica istanza interna di Artifactory identificata durante la ricerca \u00e8 stata dismessa. Ci\u00f2 chiude questa particolare vulnerabilit\u00e0, sebbene il modello architettonico alla base meriti l\u2019attenzione di ogni team di sicurezza, indipendentemente dalla piattaforma utilizzata.<\/p>\n\n\n\n

Questa vulnerabilit\u00e0 ha dei punti di contatto con l\u2019incidente di Hugging Face. I due attacchi non sono identici e non hanno utilizzato la stessa tecnica, ma entrambi hanno avuto origine nello stesso servizio condiviso alla base di ChatGPT, il che rivela qualcosa di pi\u00f9 significativo rispetto a ciascuna delle due scoperte prese singolarmente. Quando gli agenti di IA operano su un\u2019infrastruttura interna condivisa, tale infrastruttura diventa di per s\u00e9 un obiettivo degno di essere attaccato, e questa ricerca \u00e8 un ulteriore dato che ne illustra il motivo.<\/p>\n\n\n\n

Qualsiasi assistente AI che operi all\u2019interno dei confini di fiducia di un\u2019organizzazione, detenendo credenziali, eseguendo codice e accedendo a servizi collegati, pu\u00f2 diventare ci\u00f2 che CPR definisce un \u201cinsider costretto\u201d. Il modello in s\u00e9 non deve necessariamente essere malevolo. \u00c8 sufficiente che venga persuaso, tramite un testo di cui non avrebbe mai dovuto fidarsi, a utilizzare un accesso concesso per ragioni del tutto legittime. Man mano che un numero crescente di dipendenti collega i propri assistenti a un numero sempre maggiore di sistemi di cui fanno uso quotidianamente, la portata a cui un attaccante potrebbe arrivare attraverso un canale come questo aumenta.<\/p>\n\n\n\n

I team di sicurezza dovrebbero:<\/p>\n\n\n\n

    \n
  • essere a conoscenza degli strumenti di IA che il personale sta utilizzando e a cosa sono collegati, poich\u00e9 l\u2019uso \u201combra\u201d dell\u2019IA \u00e8 il punto da cui nascono i punti ciechi;<\/li>\n\n\n\n
  • implementare una protezione in fase di esecuzione per rilevare i tentativi di manipolazione e impedire che i dati sensibili vengano trasferiti dove non dovrebbero;<\/li>\n\n\n\n
  • governare ci\u00f2 che gli strumenti e gli agenti di IA sono effettivamente autorizzati a fare, considerando le loro azioni, e non solo i loro risultati, come elementi che devono essere monitorati e controllati. Questa \u00e8 la lacuna di sicurezza che Check Point AI Security \u00e8 stata progettata per colmare: visibilit\u00e0 sull\u2019utilizzo dell\u2019IA e sulle connessioni all\u2019interno dell\u2019organizzazione, protezione in fase di esecuzione contro minacce quali l\u2019iniezione di prompt e la fuga di dati, e governance su ci\u00f2 a cui i sistemi di IA connessi possono accedere e su cui possono agire.<\/li>\n<\/ul>\n\n\n\n

    \u201cQuesta ricerca dimostra che la sfida alla sicurezza legata all\u2019IA non riguarda pi\u00f9 solo il modello in s\u00e9, ma anche l\u2019accesso e la fiducia che gli concediamo – afferma Eli Smadja, Head of Research di Check Point Research – Man mano che gli assistenti basati sull\u2019IA diventano sempre pi\u00f9 integrati con i sistemi aziendali e i dati sensibili, le organizzazioni devono partire dal presupposto che qualsiasi funzionalit\u00e0 autorizzata possa essere oggetto di un uso improprio. Un approccio incentrato sulla prevenzione, combinato con visibilit\u00e0, governance e protezione in fase di esecuzione, \u00e8 essenziale per garantire che l\u2019IA rimanga un fattore abilitante per il business piuttosto che una nuova fonte di rischio informatico. Le organizzazioni che manterranno un vantaggio competitivo saranno quelle che proteggeranno le interazioni con l\u2019IA prima che gli attaccanti possano sfruttarle\u201d.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Milano, 10 settembre 2026 – Check Point Research (CPR), la divisione di Threat Intelligence di Check Point Software Technologies Ltd. (NASDAQ : CHKP), pioniere e leader globale nelle soluzioni di sicurezza informatica, ha individuato...<\/p>\n","protected":false},"author":48,"featured_media":91992,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[126],"tags":[],"class_list":["post-91991","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicurezza"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t