Una falla nell’isolamento degli ambienti di ChatGPT poteva consentire a un account di impartire istruzioni nascoste a una sessione appartenente a un altro utente e, nel proof of concept dei ricercatori, arrivare a leggere dati da Gmail quando l’app era già collegata a ChatGPT. Il problema è stato reso pubblico da Check Point Research l’8 settembre 2026, ma il canale cross-account descritto nella ricerca non risulta più disponibile: OpenAI ha confermato che l’istanza interna di Artifactory coinvolta era stata dismessa.
La distinzione è importante. Non stiamo parlando di una violazione diretta di Gmail né di una falla che permette oggi a chiunque di leggere la posta di un altro utente. Il caso mostra però quanto cambino i rischi quando un assistente AI può eseguire codice e usare app collegate, file e autorizzazioni già presenti nella sessione.
Cosa ha scoperto Check Point su ChatGPT e Gmail
La ricerca, pubblicata con il titolo The Shared Clipboard Inside the Sandbox, descrive un canale di comunicazione nascosto tra ambienti di esecuzione appartenenti a conversazioni e account differenti.
ChatGPT può creare container isolati quando deve eseguire codice. I container analizzati dai ricercatori non potevano comunicare direttamente tra loro e non disponevano del normale accesso a Internet. Potevano però raggiungere un servizio interno condiviso basato su JFrog Artifactory, utilizzato per recuperare pacchetti software.
Il problema nasceva da alcune operazioni sulle proprietà degli elementi presenti nel repository. In pratica, un container poteva scrivere informazioni in uno stato condiviso e un container appartenente a un altro account poteva leggerle. Quel servizio interno finiva quindi per comportarsi come una sorta di “clipboard” condivisa tra ambienti che avrebbero dovuto restare separati.
Come poteva entrare in gioco Gmail
Il canale tra container diventava più pericoloso quando veniva combinato con istruzioni nascoste. Secondo Check Point, il comando poteva arrivare attraverso un prompt malevolo, una conversazione ChatGPT condivisa oppure un GPT personalizzato configurato per eseguire attività non visibili all’utente.
Nel proof of concept, la vittima apriva una conversazione predisposta e inviava una normale richiesta. ChatGPT rispondeva alla domanda visibile ma, nello stesso turno, elaborava anche un secondo compito nascosto. Poiché la sessione della vittima disponeva dell’accesso a Gmail, il sistema riusciva a recuperare dati dalle email e a trasferirli verso l’altro account attraverso il canale covert.
Il punto chiave è che l’attaccante non otteneva la password Google della vittima. Venivano sfruttate le capacità che l’utente aveva già autorizzato all’interno della propria sessione ChatGPT. È per questo che Check Point descrive il modello come un possibile coerced insider: un componente già dentro il perimetro di fiducia che viene indotto a usare permessi legittimi per uno scopo diverso da quello previsto.
La falla è ancora sfruttabile?
In base alla ricerca pubblicata l’8 settembre, il canale cross-account descritto non era più disponibile al momento della conclusione del rapporto. Check Point ha comunicato i risultati a OpenAI e riferisce che l’azienda ha confermato la dismissione dell’istanza interna di Artifactory individuata durante l’analisi.
Non è quindi corretto presentare il caso come una tecnica oggi pubblicamente disponibile per rubare la posta di chiunque utilizzi ChatGPT. La parte importante è il modello di rischio che emerge: se un agente può usare strumenti e app collegate, qualsiasi errore di isolamento o istruzione malevola può avere conseguenze molto più ampie rispetto alla semplice esposizione di una risposta in chat.
Un problema simile, pur con dinamiche tecniche differenti, era già emerso nell’incidente tra OpenAI e Hugging Face, dove agenti sottoposti a test cyber erano riusciti a oltrepassare il perimetro previsto. I due casi rafforzano lo stesso principio: con agenti sempre più autonomi, la sicurezza dipende anche da sandbox, servizi interni, credenziali e strumenti accessibili al modello.
ChatGPT può leggere Gmail senza chiedere ogni volta?
Dipende dalle autorizzazioni impostate per l’app collegata. La documentazione OpenAI sulle app spiega che le opzioni disponibili possono includere modalità come “Chiedi sempre”, autorizzazioni per operazioni di lettura o azioni considerate a basso rischio e, per alcuni account idonei, permessi più ampi.
OpenAI chiarisce inoltre che collegare un’app non concede a ChatGPT accessi ulteriori rispetto a quelli autorizzati dal provider: per Google, ChatGPT può utilizzare soltanto l’account collegato e i relativi ambiti OAuth concessi durante la configurazione. Negli ambienti gestiti, amministratori ChatGPT e Google Workspace possono limitare ulteriormente azioni e scope.
Questo significa che il problema non è “ChatGPT conosce automaticamente tutta la mia Gmail”. Il rischio cresce in base a quali app sono collegate, quali dati contengono e quali autorizzazioni sono state concesse.
Cosa fare se hai collegato Gmail a ChatGPT
Non ci sono elementi nella ricerca che rendano necessario scollegare Gmail in modo permanente. Il canale specifico descritto da Check Point risulta chiuso. È però un buon momento per controllare le integrazioni che non servono più e ridurre i permessi al minimo necessario.
- Controlla le app collegate a ChatGPT e rimuovi quelle che non utilizzi più.
- Preferisci autorizzazioni più restrittive quando non hai bisogno di letture o azioni automatiche.
- Fai attenzione a conversazioni condivise e GPT personalizzati non affidabili, perché istruzioni nascoste o contenuti manipolati possono tentare di indirizzare il comportamento dell’agente.
- Negli ambienti aziendali, rivedi gli scope OAuth approvati per Google Workspace e disabilita le azioni non necessarie.
- Se una sessione mostra un uso inatteso di un’app collegata, interrompi l’attività e verifica connessioni e autorizzazioni prima di continuare.
OpenAI specifica nella propria documentazione che un’app Google può essere scollegata in qualsiasi momento dalle impostazioni e che gli amministratori dovrebbero rivedere le azioni abilitate e gli ambiti OAuth approvati. Per chi gestisce un’organizzazione è una misura particolarmente importante, perché una singola integrazione può mettere a disposizione dell’agente dati aziendali che vanno ben oltre la conversazione corrente.
Serve cambiare la password di Gmail?
La ricerca di Check Point non descrive un furto della password Google. Il proof of concept utilizzava l’accesso già autorizzato nell’app collegata. Cambiare password può essere appropriato se esistono altri segnali di compromissione dell’account Google, ma non è la correzione specifica del problema cross-account descritto in questa ricerca.
Perché questa falla conta anche se è stata chiusa
Il caso evidenzia un cambio di paradigma nella sicurezza dell’intelligenza artificiale. Un chatbot tradizionale produce testo. Un agente moderno può invece eseguire codice, consultare file, cercare email, accedere a servizi aziendali e compiere azioni usando credenziali già autorizzate.
Più crescono queste capacità, più il confine di sicurezza si sposta dal solo modello all’intera infrastruttura che lo circonda. Un servizio interno condiviso, una configurazione troppo permissiva o una istruzione nascosta possono trasformare un assistente utile in un tramite involontario per operazioni che l’utente non aveva richiesto.
È lo stesso motivo per cui il settore sta discutendo controlli più rigorosi sugli agenti e valutazioni indipendenti. Nel nostro approfondimento su cosa propone Anthropic per rallentare in sicurezza lo sviluppo dei modelli più avanzati emerge proprio la necessità di verificare non soltanto cosa un’AI sa fare, ma anche cosa può raggiungere quando dispone di strumenti reali.
La domanda utile, quindi, non è soltanto se ChatGPT possa leggere Gmail. È quali dati e azioni diventano disponibili a un agente una volta collegata un’app e quali barriere impediscono che istruzioni sbagliate o infrastrutture condivise trasformino quell’accesso legittimo in un problema di sicurezza.
