ChatGPT Datenleck: Gemeinsamer Zwischenspeicher erlaubte Zugriff auf fremde Gmail Konten
Sicherheitsforscher von Check Point haben eine Schwachstelle im Code Ausführungscontainer von ChatGPT offengelegt. Über nicht mandantengetrennte Metadaten einer internen Artifactory Instanz konnten Angreifer Daten in fremde Konten schleusen und darüber E Mails aus verbundenen Gmail Konten abgreifen. OpenAI hat die betroffene Instanz laut den Forschern bereits stillgelegt.
Ein Nutzer bittet ChatGPT um eine harmlose Aufgabe, etwa das Zusammenfassen eines Textes. Im Hintergrund meldet die Oberfläche kurz "Talked to Gmail", ohne dass zuvor eine Bestätigung eingeholt wurde. Genau in diesem unscheinbaren Moment konnte laut einer neuen Analyse von Check Point Research fremder Zugriff auf E Mail Daten stattfinden, ausgelöst durch eine Schwachstelle, die nichts mit dem sichtbaren Chatfenster zu tun hatte, sondern mit der Infrastruktur dahinter.
Betroffen war der Code Ausführungscontainer von ChatGPT, in dem Nutzeranfragen serverseitig Python Code ausführen lassen können. Verschiedene Konten teilten sich laut Check Point technisch eine interne JFrog Artifactory Instanz, deren Metadaten Properties nicht sauber nach Mandant getrennt waren. Dadurch konnten Container unterschiedlicher Nutzer über diese Properties Daten schreiben und lesen, obwohl sie eigentlich isoliert sein sollten. Die Angriffsanweisung konnte auf drei Wegen in den Kontext eines Opfers gelangen: über einen vom Nutzer selbst kopierten und eingefügten Prompt, über eine geteilte ChatGPT Konversation oder über einen Custom GPT mit unsichtbaren Builder Instruktionen. Gesichert ist der von Check Point im Juni 2026 dokumentierte Mechanismus und die Rolle des Gmail Connectors im Proof of Concept, unsicher bleibt, wie lange die Lücke real bestand und ob sie außerhalb des Labors ausgenutzt wurde. Aus diesem Grund sollten Unternehmen mit aktivierten Connected Apps zeitnah prüfen, welche Verbindungen aktiv sind und welche Rechte diese besitzen, auch wenn OpenAI die betroffene Instanz laut Check Point inzwischen abgeschaltet hat.
Was Check Point Research gefunden hat
In der Veröffentlichung "The Shared Clipboard Inside the Sandbox: Cross Account Data Leakage in ChatGPT" vom 8. September 2026 beschreibt Check Point Research einen verdeckten Kanal zwischen verschiedenen ChatGPT Konten. Der Name "Shared Clipboard" bezieht sich auf die gemeinsam erreichbare Artifactory Instanz, die eigentlich intern für Paketverwaltung und Build Artefakte gedacht war, aber über ihre Properties Metadaten faktisch als Zwischenspeicher zwischen Sandboxes verschiedener Nutzer fungierte.
Der Kern des Problems liegt darin, dass die Code Ausführungsumgebung von ChatGPT zwar pro Sitzung isolierte Container nutzt, diese Container aber gemeinsam auf dieselbe Artifactory Instanz zugreifen konnten. Weil die zugehörigen Metadaten Properties nicht mandantenspezifisch abgegrenzt waren, ließen sich darüber Werte ablegen, die ein anderer Container später wieder auslesen konnte. Diese Eigenschaft macht aus einer internen Verwaltungskomponente ungewollt einen Kommunikationskanal, der Kontogrenzen unterläuft.
Der Angriffspfad im Detail
Damit ein Angriff funktioniert, muss eine Anweisung in den Kontext des ChatGPT Modells eines Opfers gelangen. Check Point beschreibt dafür drei realistische Wege.
- Ein vom Nutzer selbst kopierter Prompt aus einer unsicheren Quelle, etwa einem Forum oder einer Anleitung, der zusätzlich zur eigentlichen Aufgabe versteckte Anweisungen enthält.
- Eine geteilte ChatGPT Konversation, die ein Nutzer öffnet und deren enthaltener Kontext bei der Weiterbearbeitung übernommen wird.
- Ein Custom GPT mit unsichtbaren Builder Instruktionen, die beim Aufruf automatisch mitgeliefert werden, ohne dass der Nutzer sie zu Gesicht bekommt.
In allen drei Fällen gelangt eine für den Nutzer nicht sichtbare Anweisung in den Ausführungskontext. Diese Anweisung veranlasst den Code Ausführungscontainer, Daten über die Artifactory Properties abzulegen oder von dort abzurufen, während gleichzeitig eine für den Nutzer plausible, harmlose Aufgabe sichtbar bearbeitet wird.
Der Proof of Concept mit Gmail
Um die praktische Relevanz zu zeigen, kombinierten die Forscher die Schwachstelle mit dem Gmail Connector von ChatGPT. Im Test führte ChatGPT für den Nutzer sichtbar eine unverfängliche Aufgabe aus. Parallel griff das System im Hintergrund auf den verbundenen Gmail Connector zu und leitete E Mail Inhalte über den verdeckten Artifactory Kanal an ein fremdes Konto weiter.
Für den Nutzer blieb davon fast nichts sichtbar. Die Oberfläche zeigte lediglich den Hinweis "Talked to Gmail", ein kurzer Systemvermerk, der im normalen Betrieb häufig vorkommt und keine gesonderte Warnung darstellt. Eine vorherige, explizite Bestätigung der Datenweitergabe fand laut Check Point nicht statt. Dieser fehlende Bestätigungsschritt ist aus Sicht der Forscher einer der kritischsten Punkte, weil er automatisierte Exfiltration ohne bewusste Nutzerinteraktion ermöglicht.
Rolle der Connected Apps Einstellungen
Wie stark ein Konto potenziell betroffen sein konnte, hängt auch von den Standardeinstellungen für Connected Apps ab. Laut Check Point gilt hier ein deutlicher Unterschied zwischen den Editionen.
| Edition | Connected Apps Standard | Praktische Bedeutung |
|---|---|---|
| ChatGPT Business | Standardmäßig aktiv | Connector wie Gmail sind ohne zusätzliche Aktivierung nutzbar, dadurch potenziell größere Angriffsfläche |
| ChatGPT Enterprise | Standardmäßig deaktiviert | Connector müssen von Administratoren gezielt freigeschaltet werden |
| ChatGPT Edu | Standardmäßig deaktiviert | Gleiches Prinzip wie bei Enterprise, Freigabe liegt bei der Institution |
Zusätzlich betont Check Point, dass Adminrichtlinien in allen Editionen genutzt werden können, um sowohl die Zahl der verfügbaren Apps als auch die erlaubten Aktionen je Connector einzuschränken. Diese Richtlinien wirken unabhängig von der zugrunde liegenden Schwachstelle als zusätzliche Kontrollebene und reduzieren im Ernstfall den möglichen Schaden.
Einordnung und offene Fragen
Für die beschriebene Schwachstelle wurde keine eigene CVE Kennung vergeben. Es liegt außerdem keine dokumentierte Ausnutzung außerhalb der Forschungsumgebung von Check Point vor. Nach Angaben der Forscher hat OpenAI die betroffene Artifactory Instanz stillgelegt, ein Update auf Nutzerseite oder ein Clientupdate ist demnach nicht erforderlich, da die Änderung serverseitig in der Infrastruktur erfolgte.
Offen bleibt, wie lange die zugrunde liegende Schwäche in der Metadatentrennung tatsächlich bestand, bevor sie entdeckt und behoben wurde. Eine ausführliche, eigenständige öffentliche Stellungnahme von OpenAI zu dem Fall konnte zum Zeitpunkt der Recherche nicht gefunden werden. Für Unternehmen bedeutet das, sich in erster Linie auf die technische Analyse der Sicherheitsforscher zu stützen und eigene Kontrollen unabhängig von einer Herstellerbestätigung umzusetzen.
Empfehlungen für Unternehmen
Auch wenn die konkrete Schwachstelle laut Check Point bereits geschlossen ist, zeigt der Fall grundsätzliche Risiken im Umgang mit KI Connectoren und Custom GPTs. Folgende Maßnahmen helfen, ähnliche Risiken künftig zu begrenzen.
- Bestehende Connected Apps in ChatGPT Konten vollständig inventarisieren, insbesondere Gmail und andere Mail oder Dokumentenanbindungen.
- Rechte der einzelnen Connector konsequent minimieren und nur wirklich benötigte Aktionen erlauben.
- Die Option Always ask für sensible Connector Aktionen in Betracht ziehen, damit Datenzugriffe nicht ohne Bestätigung ablaufen.
- Nutzung unbekannter oder extern geteilter Custom GPTs im Unternehmen einschränken oder freigabepflichtig machen.
- Das Öffnen und Weiterverwenden geteilter ChatGPT Konversationen aus nicht vertrauenswürdigen Quellen kritisch prüfen.
- Mitarbeitende gezielt für Risiken durch kopierte Prompts aus externen Quellen sensibilisieren.
- Audit Logs und Connector Aktivität regelmäßig auf ungewöhnliche Zugriffsmuster kontrollieren.
- Admin Richtlinien für Connected Apps aktiv konfigurieren statt sich auf Standardwerte zu verlassen.
- Bei Enterprise und Edu Lizenzen die Freigabe neuer Connector bewusst und dokumentiert steuern.
- Interne Meldewege für auffälliges Verhalten von KI Assistenten wie unklare Systemvermerke etablieren.
Passende Anleitungen auf S EDV
- OpenAI ChatGPT Path Traversal Fix im Juli 2026
- GitHub Repos für KI Coding Agenten mit Malware und Prompt Injection
- Amazon Kiro Prompt Injection Lücke ermöglichte Datenexfiltration
