ChatGPT, la Gmail di un utente arrivava a un altro account: cosa cambia per chi custodisce i fascicoli dei clienti
Un’unica istruzione nascosta poteva far leggere a ChatGPT la casella Gmail collegata di un utente e passarne il contenuto a un altro account ChatGPT, mentre il servizio rispondeva alla domanda dell’utente come se nulla fosse. Check Point Research ha pubblicato la scoperta l’8 settembre 2026. OpenAI aveva già spento il servizio interno che faceva da tramite, e i ricercatori non hanno trovato tracce di attacchi reali.
Una fuga tra account è un difetto che permette ai dati di un cliente di un servizio condiviso di arrivare a un altro cliente dello stesso servizio. Il caso mostra dove lavora un assistente AI: su un’infrastruttura che condividi con tutti gli altri account della piattaforma.
Che cosa ha trovato Check Point in ChatGPT?
Nella dimostrazione dei ricercatori, la vittima apre un link condiviso e chiede a ChatGPT un grafico delle temperature medie mensili di New York. ChatGPT disegna il grafico. In parallelo, un secondo flusso di lavoro che la vittima non vede legge la sua Gmail e consegna i dati all’account ChatGPT dell’attaccante.
L’istruzione poteva arrivare per tre strade: un prompt incollato in una chat, il link a una conversazione condivisa, oppure la configurazione nascosta di un GPT personalizzato. L’unico indizio per la vittima era una piccola etichetta «Talked to Gmail», comparsa a lettura già avvenuta.
Come poteva un account ChatGPT raggiungerne un altro?
ChatGPT esegue il codice degli utenti dentro contenitori isolati, un ambiente per account. Quei contenitori scaricano pacchetti software da un servizio interno di OpenAI basato su JFrog Artifactory. Check Point ha scoperto che i contenitori di qualsiasi account raggiungevano quel servizio, potevano scrivere note sugli elementi condivisi e leggere le note lasciate dagli altri account.
I ricercatori lo chiamano appunti in comune. Due account che il progetto di OpenAI teneva separati potevano passarsi messaggi, e dati, attraverso quegli appunti.
La stessa istanza interna di Artifactory compare in una seconda storia di questa estate. Il rapporto ufficiale di OpenAI del 26 agosto racconta come i suoi stessi agenti AI, durante i test, abbiano compromesso quel registro per raggiungere internet e siano arrivati a violare Hugging Face. Quando Check Point ha segnalato il suo canale, a fine giugno, OpenAI ha risposto di aver già dismesso l’istanza.
Perché conta l'impostazione predefinita dei permessi?
ChatGPT si collega a Gmail, Google Drive, Microsoft Teams, GitHub e altri servizi. Con l’impostazione predefinita approva da solo le letture che giudica a basso rischio, senza chiederti niente, e considera a basso rischio leggere la tua posta. Esiste un’opzione più severa, «Chiedi sempre». Devi attivarla tu.
OpenAI ha chiuso il difetto nella propria infrastruttura. Il permesso che concedi quando colleghi una casella resta dov’è, e qualunque falla futura che raggiunga la tua sessione se lo ritrova in mano.
| Domanda da fare al fornitore di AI | La residenza dei dati risponde? | Che cosa ha messo alla prova questo caso |
|---|---|---|
| Dove conservate le mie conversazioni e i miei file? | Sì: OpenAI offre l’Europa, Svizzera compresa, per Enterprise, Edu e API | Fuori discussione |
| Chi altro esegue codice sulle macchine che elaborano i miei dati? | No | I contenitori di qualsiasi account raggiungevano lo stesso servizio interno |
| L’assistente legge la posta collegata senza chiedermelo? | No | Sì, per default, quando giudica la lettura a basso rischio |
E in Svizzera?
OpenAI vende la residenza dei dati in una regione che chiama Europa, con lo Spazio economico europeo e la Svizzera, per ChatGPT Enterprise, ChatGPT Edu e l’API. La residenza copre il contenuto conservato: conversazioni, file caricati e GPT personalizzati. VentureBeat ha riportato a novembre 2025 che l’elaborazione restava negli Stati Uniti e che i connettori di terzi possono seguire regole diverse.
Questo caso sta fuori da ciò che la residenza descrive. Uno studio svizzero potrebbe tenere ogni conversazione archiviata in Europa e condividere comunque l’ambiente che esegue il codice con tutti gli altri clienti. Secondo la legge sulla protezione dei dati, chi affida un trattamento a un fornitore deve assicurarsi che il fornitore sia in grado di garantire la sicurezza dei dati (art. 9 LPD). Per una fiduciaria o un commercialista che custodisce i fascicoli dei clienti, quel dovere riguarda la macchina che legge i file oltre al luogo che li conserva.
L’1 settembre abbiamo spiegato perché l’AI venduta come «locale» non lavora dove credi. Questo caso aggiunge la domanda che viene dopo l’indirizzo: chi altro abita nel palazzo.
Cosa fare adesso
- Censisci che cosa hanno collegato i tuoi collaboratori. Elenca le caselle di posta, i drive e gli spazi di chat collegati a un assistente AI, e con quale account. Contano anche gli account personali usati per lavoro.
- Porta i connettori su «Chiedi sempre» e togli quelli che non servono. Una casella con la corrispondenza dei clienti deve richiedere il clic di una persona prima che un’AI la legga.
- Tieni le istruzioni esterne lontane dai dati dei clienti. Vieta i GPT personalizzati di autori sconosciuti, e i link a conversazioni condivise da fuori studio, su ogni account collegato ai fascicoli.
- Fai al fornitore due domande per iscritto. Dove conserva i tuoi dati, e come li tiene separati da quelli degli altri clienti nell’ambiente che esegue il codice. Archivia le risposte insieme al contratto.
Domande frequenti
La falla di ChatGPT è ancora aperta?
No. OpenAI aveva dismesso il servizio interno prima della segnalazione di Check Point, e Check Point conferma che la strada della sua dimostrazione non funziona più. Non devi installare né cambiare niente per chiuderla.
Qualcuno ha rubato email vere?
Check Point, The Register e The Cyber Express non riportano prove di sfruttamento reale. La ricerca dimostra che cosa permetteva il progetto.
Quali piani di ChatGPT erano coinvolti?
Né Check Point né la stampa indicano piani specifici. La ricerca descrive la funzione delle app collegate e l’ambiente in cui ChatGPT esegue il codice.
La residenza dei dati in Europa protegge da questo tipo di falla?
La residenza stabilisce dove OpenAI conserva i tuoi contenuti. Questo canale passava da un servizio condiviso dell’ambiente che esegue il codice, uno strato che la residenza non descrive.
Se questa settimana un cliente ti chiedesse quali altri account condividono la macchina che legge i suoi fascicoli, che cosa gli risponderesti?
Nota tecnica: il canale sfruttava le proprietà degli elementi in un’istanza interna di JFrog Artifactory raggiungibile dai contenitori di esecuzione di ChatGPT. Nessun CVE assegnato.
Fonti
- Check Point Research, «The Shared Clipboard Inside the Sandbox: Cross-Account Data Leakage in ChatGPT», 8 settembre 2026 (fonte primaria).
- The Register, «OpenAI’s Artifactory opened covert data-stealing channel alongside Hugging Face attack», 8 settembre 2026.
- CSO Online, «ChatGPT flaw lets attackers pull Gmail data across accounts via a hidden channel», 9 settembre 2026.
- The Hacker News, «ChatGPT Flaw Let a Planted Prompt Send a Victim’s Gmail Data to Another Account», 8 settembre 2026.
- The Cyber Express, «ChatGPT sandbox flaw leads to Gmail leak», settembre 2026.
- TechCrunch, «OpenAI releases its official report on the Hugging Face breach», 26 agosto 2026.
- VentureBeat, «OpenAI now lets enterprises choose where to host their data», novembre 2025.
