Redacción
En los últimos tiempos, las organizaciones han ido incorporando asistentes de inteligencia artificial a sus rutinas de trabajo, enlazándolos con herramientas cotidianas como el correo electrónico y diversas aplicaciones empresariales bajo la premisa de que las sesiones de cada usuario se mantienen aisladas. Sin embargo, un reciente análisis llevado a cabo por la división de investigación de la firma de ciberseguridad Check Point Software Technologies, ha revelado la existencia de un canal de comunicación encubierto entre contenedores independientes de ChatGPT, un hallazgo que demostró que era posible enviar instrucciones a la sesión de inteligencia artificial de una víctima para acceder a información privada.
El origen de esta vulnerabilidad residía en un servicio interno empleado por la plataforma para administrar la instalación de paquetes de software en sus entornos de ejecución. Aunque estos contenedores se diseñaron para operar segregadamente, todos compartían el acceso a dicho gestor interno. Los analistas detectaron que esta infraestructura permitía a los entornos de ejecución almacenar y recuperar propiedades de texto o datos binarios, de modo que, mediante una simple instrucción ofuscada, un enlace a un chat compartido o un modelo personalizado, se podía desencadenar el mecanismo.
Una vez ejecutada la tarea oculta empleando los privilegios del usuario, el asistente transmitía los datos por el canal encubierto mientras continuaba respondiendo a la consulta original con total normalidad.
Durante una prueba técnica, los especialistas lograron extraer información de una cuenta de Gmail vinculada a la sesión comprometida y enviarla al entorno del atacante. El usuario afectado apenas habría notado actividad anómala, ya que el sistema permite realizar ciertas acciones de lectura consideradas de bajo impacto sin requerir confirmación explícita, mostrando únicamente un pequeño indicador visual cuando la consulta a la bandeja de correo ya se había completado. Este método de ataque, a diferencia de las intrusiones tradicionales, no precisa la sustracción de contraseñas ni la instalación de software malicioso, sino que abusa de los permisos que el usuario ya ha otorgado a su asistente.
Los responsables del descubrimiento han acuñado el término de amenaza interna coaccionada para describir esta técnica. En este escenario, el modelo de lenguaje no actúa de forma malintencionada por iniciativa propia, sino que sus instrucciones son interferidas para que emplee sus capacidades autorizadas en beneficio de un tercero. El mismo principio operativo podría afectar a otros servicios corporativos conectados, como sistemas de almacenamiento en la nube o plataformas de colaboración, dependiendo exclusivamente de los privilegios asignados a la herramienta.
Tras confirmar estos descubrimientos, los investigadores informaron a los responsables de OpenAI, quienes procedieron a retirar la instancia interna del repositorio de software que originaba el problema, subsanando esta vía de ataque específica. A pesar de ello, los expertos advierten que el riesgo de diseño subyacente sigue presente en cualquier ecosistema tecnológico que conecte algoritmos generativos con aplicaciones corporativas.
Ante este nuevo panorama, los responsables del análisis advierten que el reto defensivo ha trascendido al propio algoritmo, centrándose ahora en el nivel de confianza que se le proporciona. A medida que estas herramientas se integran más profundamente en los sistemas corporativos, las organizaciones deben asumir que cualquier permiso concedido puede ser explotado, por lo que resulta imprescindible aplicar estrategias preventivas que incluyan monitorización constante y protección durante la ejecución. Para mitigar estos riesgos, resulta indispensable que las empresas identifiquen qué soluciones automatizadas emplean sus trabajadores y establezcan controles técnicos para bloquear transferencias de datos hacia destinos no reconocidos.
