Un prompt piantato può svuotare Gmail senza farsi vedere
Check Point Research ha mostrato che un singolo prompt piantato in ChatGPT può leggere i dati di Gmail collegato e passarli a un altro account attraverso metadata Artifactory condivisi, senza cambiare la risposta che l’utente vede. Il punto non è la qualità del reply. È che il canale di fiducia sta nei permessi dell’app collegata e nello stato nascosto della conversazione.
Il meccanismo tiene separati due flussi: ChatGPT risponde normalmente e, nello stesso turno, esegue un incarico nascosto che recupera dati dalla sessione e li inoltra fuori banda. L’utente vede solo un normale output e, al massimo, un’etichetta come “Talked to Gmail” dopo che la lettura è già avvenuta.
La conseguenza per chi usa ChatGPT con connected apps attive è chiara: ciò che conta è quanto quella sessione può già vedere e fare, non la faccia pulita della risposta finale. Se una chat condivisa, un prompt incollato o un custom GPT porta dentro l’istruzione malevola, il raggio d’azione coincide con email, file e altri app già autorizzati.