Luka w ChatGPT pozwalała na kradzież danych z Gmaila i Dysku Google: jak chronić konta
Nie masz pewności, co dokładnie się zepsuło?
Opisz objawy serwisantowi — podpowiemy, od czego zacząć diagnostykę i czy warto oddać sprzęt do naprawy.
Podłączenie Gmail lub Google Drive do asystenta AI jest wygodne: można poprosić o znalezienie maila, podsumowanie dokumentu lub szybkie odnalezienie potrzebnego pliku. Jednak udzielenie takich uprawnień zmienia model ryzyka. Asystent nie tylko odpowiada na zapytanie, ale pracuje na rzeczywistych danych w imieniu użytkownika.
We wrześniu 2026 roku Check Point Research opisał ukryty kanał między dwoma oddzielnymi sesjami ChatGPT. W demonstracji obca instrukcja trafiała do sesji ofiary, która wykonywała ją z uprawnieniami, które już posiadała: między innymi mogła odczytać Gmail lub Google Drive i przekazać wynik z powrotem. Użytkownik widział przy tym zwykłą odpowiedź na własne pytanie.
To ważne, aby to dobrze zrozumieć. Nie chodziło o to, że ktokolwiek mógł zalogować się do Gmail bez hasła, ani o udowodnione masowe włamanie do wszystkich kont. Badacze opisali konkretną ścieżkę w wewnętrznej infrastrukturze ChatGPT, a OpenAI poinformowało, że powiązana usługa wewnętrzna została dezaktywowana. Jednocześnie zasada jest przydatna dla każdego, kto podłącza AI do poczty, plików lub systemów pracy.
Na czym polegał problem
ChatGPT może uruchamiać oddzielne zadania w izolowanym środowisku. Na przykład jest to potrzebne do analizy pliku lub wykonania kodu. Izolacja ma zapobiegać temu, aby różni użytkownicy widzieli swoje środowiska nawzajem.
Według opisu Check Point, takie środowiska korzystały ze wspólnej wewnętrznej usługi dostarczania pakietów. Usługa miała pomagać w instalacji zależności bez bezpośredniego dostępu kontenerów do internetu, ale jej metadane mogły stać się ukrytym kanałem wymiany. Jedno środowisko zapisywało tam instrukcję, a drugie ją odczytywało.
Tak powstała ważna różnica między „konta są izolowane” a „wszystkie dostępne wewnętrzne komponenty są izolowane”. Jeśli sesja AI ofiary odczytała ukrytą komendę i ją wykonała, atakujący mógł otrzymać wynik przez ten sam kanał.
Jak w to był zaangażowany Gmail
W demonstracji sesja atakującego przekazywała zadanie sesji ofiary. Gdy ofiara wykonywała zwykłe zapytanie, ChatGPT równolegle przetwarzał ukrytą instrukcję. Jeśli Gmail był podłączony i pozwalał na odczyt, asystent mógł znaleźć maile lub inne dostępne dane i zapisać wynik w wspólnym magazynie.
Dla ofiary mogło to wyglądać jak normalna odpowiedź. Badacze zauważyli, że system pokazywał niewielki wskaźnik odwołania do Gmail dopiero po wykonaniu odczytu, a nie osobne jasne potwierdzenie przed nim. Dlatego dostęp AI-asystentów należy traktować jako pełnoprawne uprawnienia konta, a nie jako nieszkodliwą funkcję wyszukiwania.
Objętość potencjalnie dostępnych informacji zależała od uprawnień konkretnej sesji. Jeśli użytkownik nie podłączał Gmail, Google Drive, Teams lub GitHub, nie miał odpowiednich danych. Jeśli podłączał, ryzyko zależało od tego, co dokładnie mogła czytać integracja.
Czy to oznacza, że konto Google zostało zhakowane
Niekoniecznie. Opisany scenariusz nie zakłada, że atakujący uzyskał twoje hasło, cookie lub klucz Google. Wykorzystał dostęp, który już był udzielony sesji AI, aby zmusić ją do wykonania nieprzeznaczonej akcji.
To podobne do sytuacji, gdy dajesz asystentowi klucz do szafy, a ktoś przekonuje samego asystenta, by ją otworzył nie dla ciebie. Ochrona powinna obejmować nie tylko hasło i uwierzytelnianie dwuskładnikowe, ale także wszystkie zewnętrzne aplikacje, którym pozwolono czytać dane.
Jeśli podejrzewasz kompromitację, otwórz ustawienia konta Google z czystego urządzenia, sprawdź podłączone aplikacje, aktywne sesje i ostatnią aktywność. W ogólnym scenariuszu sprawdź też jak rozpoznać phishingowy link, bo skradzione konto często próbuje się ponownie wykorzystać.
Co zrobić użytkownikowi teraz
- Otwórz ustawienia ChatGPT i sprawdź podłączone aplikacje oraz źródła danych.
- Odłącz Gmail, Google Drive lub inne konektory, które nie są potrzebne na co dzień.
- W koncie Google przejdź do sekcji bezpieczeństwa i usuń dostęp nieznanych lub zbędnych aplikacji.
- Sprawdź ostatnie logowania, aktywne urządzenia i zdarzenia bezpieczeństwa.
- Jeśli w koncie były poufne dokumenty, zmień hasło z czystego urządzenia i zakończ zbędne sesje.
- Do pracy z ważnymi plikami utwórz osobne konto lub ograniczony katalog bez prywatnej poczty i dokumentów bankowych.
Jeśli nie zauważyłeś nietypowych zdarzeń, nie ma potrzeby panikować i usuwać Gmail. Najpierw sporządź listę podłączonych usług i określ, które z nich są naprawdę potrzebne. Najsłabszym ogniwem często nie jest sam AI, lecz zbyt szerokie uprawnienia: asystent dostaje dostęp do całej poczty, choć potrzebował przeczytać jeden dokument roboczy.
Jak ograniczyć dostęp do Google Drive
Nie przechowuj w jednym katalogu dokumentów osobistych, kopii zapasowych paszportów, umów i plików do eksperymentów z AI. Utwórz osobny folder z minimalnym zestawem danych i nie podłączaj do niego dokumentów, które nie powinny trafiać do kontekstu zapytania.
Sprawdź, kto ma dostęp do plików współdzielonych, czy nie ma linków „dla każdego, kto ma link” i czy nie pozostały stare zaproszenia. Usunięcie pliku po możliwym przekazaniu nie zwraca kopii, dlatego ważne materiały lepiej nie udostępniać zewnętrznemu narzędziu bez wyraźnej potrzeby.
Do kopii zapasowej przed naprawą używaj osobnego kontrolowanego nośnika lub magazynu. Nie podłączaj folderu kopii zapasowej do asystenta AI tylko dla wygodnego wyszukiwania: kopia zapasowa powinna być dostępna do odzyskania, ale nie dla każdego zintegrowanego serwisu.
Dlaczego prompt injection pozostaje problemem
AI przetwarza tekst z maili, dokumentów, kalendarzy i stron internetowych. Część tego tekstu może zawierać instrukcje wyglądające jak polecenia dla modelu, choć w rzeczywistości to zwykła treść od zewnętrznego autora. Jeśli asystent nie rozróżnia danych od poleceń, może zacząć wykonywać cudzy scenariusz.
Ważne, by nie ufać słowom „ignoruj poprzednie zasady”, „wyślij wynik tutaj” lub „to komunikat systemowy”, jeśli znajdują się w mailu lub dokumencie. Gdy AI ma dostęp do poczty, nie proś go o automatyczne otwieranie wszystkich załączników, przesyłanie wyników lub wykonywanie działań bez ręcznej weryfikacji.
Podejrzane zapytanie nie zawsze oznacza infekcję laptopa. Ale jeśli po nim instalowałeś rozszerzenia, uruchamiałeś nieznany plik lub dawałeś zdalny dostęp, potrzebna jest diagnostyka Windows i laptopa.
Co zrobić firmie
Firma powinna wiedzieć, jakich usług AI używają pracownicy i do jakich systemów są podłączeni. Szczególnie niebezpieczny jest „cieniowy” AI, gdy pracownik sam podłącza prywatny Gmail lub Google Drive do usługi bez zgody.
Dla organizacji warto ustalić minimalne uprawnienia, osobne konta robocze, kontrolę aplikacji OAuth i rejestrowanie dostępu do Google Workspace. Nie pozwalaj AI automatycznie czytać całej poczty, jeśli scenariusz biznesowy wymaga tylko jednego katalogu.
Po incydencie sprawdź uprawnienia OAuth, pobrania z Drive, Gmail audit log, nietypowe zapytania wyszukiwania i utworzone pliki. Cofnięcie uprawnienia w Google zatrzymuje przyszły dostęp, ale nie dowodzi, że dane nie zostały wcześniej odczytane. Przy podejrzanej aktywności zachowaj logi i zaangażuj specjalistę, nie usuwaj od razu wszystkich śladów.
Wyjaśnij też pracownikom, że podłączony AI to nie „folder do czytania”, lecz zautomatyzowany agent z uprawnieniami. Zanim podłączysz usługę, odpowiedz na trzy pytania: jakie dane widzi, co może zrobić i jak szybko cofnąć dostęp.
Kiedy zmienić hasło
Zmiana hasła jest potrzebna, jeśli wpisywałeś je na podejrzanej stronie, widziałeś nieznane logowanie lub wykryłeś cudzy dostęp OAuth. Jeśli problem dotyczył tylko wewnętrznego kanału między sesjami AI, zmiana hasła Google niekoniecznie rozwiązuje przyczynę: ważniejsze jest cofnięcie konektorów i sprawdzenie logów.
Nie zmieniaj hasła na urządzeniu, któremu nie ufasz. Jeśli po incydencie pojawiły się nieznane programy, rozszerzenia, procesy lub zmiany w systemie, odłącz laptop od sieci i zamów sprawdzenie po podejrzanej aktywności. Po oczyszczeniu urządzenia zmień hasło, włącz MFA i utwórz nowe kody zapasowe.
Podsumowanie
Luka opisana przez Check Point pokazała nie „magiczne włamanie do Gmail”, lecz niebezpieczne połączenie trzech rzeczy: sesja AI mogła otrzymywać ukrytą instrukcję, miała dostęp do rzeczywistych usług i zwracała wynik przez kanał, którego użytkownik nie widział.
Konkretna wewnętrzna usługa, według badaczy, została dezaktywowana. Ale zasada pozostaje: nie podłączaj do AI więcej danych, niż potrzeba, okresowo cofaj zbędne uprawnienia, sprawdzaj aktywność Google i nie traktuj tekstu z maila jako wiarygodnej komendy. Dla ważnych dokumentów lepszy jest osobny folder, minimalne prawa i ręczne potwierdzenie każdej zewnętrznej akcji.
Najczęstsze pytania
Czy mogę rozwiązać problem samodzielnie?
Proste czynności, takie jak restart, sprawdzenie zasilacza, kabli i kopia danych, są bezpieczne. Jeśli problem wraca albo dotyczy dysku, zasilania, zalania lub płyty głównej, lepiej wykonać diagnostykę w serwisie.
Kiedy warto oddać sprzęt do serwisu?
Gdy laptop lub komputer wyłącza się, przegrzewa, nie widzi dysku, pokazuje błędy albo działa niestabilnie. Szybka diagnostyka zmniejsza ryzyko utraty danych i niepotrzebnych kosztów.
Czy Re-Save poda koszt przed naprawą?
Tak. Najpierw sprawdzamy przyczynę usterki, a następnie uzgadniamy zakres prac, części i cenę przed rozpoczęciem naprawy.
