Uživatel se ChatGPT zeptal na recept. Dostal recept. Ve stejném tahu ale tentýž model otevřel jeho připojený Gmail, vytáhl z něj data a poslal je někomu úplně jinému — a v odpovědi o tom nebylo ani slovo. Takhle popisuje Check Point Research útok, který našel v červnu a zveřejnil 8. září 2026. Pro firmu z toho plyne nepříjemná věta: když svým lidem dovolíte připojit AI asistenta k poště a diskům, přestává platit, že co vidíte v okně, je všechno, co se stalo.
Co se stalo
- Kdo a kdy: Check Point Research, výzkumník Alexey Bukhteyev, zveřejnil 8. září 2026 analýzu The Shared Clipboard Inside the Sandbox: Cross-Account Data Leakage in ChatGPT. Samotný nález je z června 2026.
- Kudy to teklo. Když ChatGPT potřebuje spustit kód, udělá si na to izolovaný kontejner. Ten podle Check Pointu neměl přístup na veřejný internet a kontejnery různých uživatelů spolu nesměly mluvit. Jenže všechny dosáhly na jednu společnou interní službu — instanci JFrog Artifactory, odkud se stahovaly balíčky. A ta uměla k souborům přidávat textové vlastnosti a zase je číst. Výzkumníci z jednoho účtu k souboru zapsali vlastnost, z druhého účtu ji přečetli. Tím vznikla „sdílená schránka" mezi dvěma prostředími, která měla být oddělená. Delší data se rozsekala na kousky a na druhé straně zase složila.
- Z kanálu se stalo dálkové ovládání. Tohle je ta podstatná část. Útočník do konverzace oběti propašuje instrukci — přes sdílený odkaz na konverzaci, přes vlastní GPT, nebo prostě textem, který si někdo zkopíruje. Od té chvíle model v režimu přemýšlení obsluhuje během jednoho tahu dva proudy: viditelný dotaz uživatele a skrytý úkol, který si vyzvedne ze sdílené schránky. Instrukce mu výslovně říká, ať ty dva proudy nemíchá. Uživatel tedy vidí normální odpověď, zatímco výsledek skryté práce odchází pryč.
- Ukázka, kterou předvedli: oběť otevře sdílenou konverzaci a napíše jednu obyčejnou zprávu. ChatGPT jí odpoví na dotaz a zároveň sáhne do jejího připojeného Gmailu a data z něj propašuje na účet útočníka. Jediná stopa ve viditelném okně byl drobný štítek „Talked to Gmail" nad odpovědí. Check Point k němu dodává suchou větu, kterou stojí za to číst dvakrát: tenhle štítek zaznamenal akci, která už proběhla. Nedal uživateli příležitost ji schválit nebo odmítnout.
- Proč nikdo nic nepotvrzoval. Připojené aplikace mají v ChatGPT jako výchozí nastavení „Important actions": model smí číst bez ptaní, potvrzení se vyžaduje až u akcí vyhodnocených jako důležité. Čtení pošty je z pohledu systému „nízkoriziková akce". Z pohledu vaší firmy je to celá korespondence.
- Rozsah nebyl v kódu, ale v oprávněních. Check Point to opakuje několikrát: dosah útoku závisel výhradně na tom, co už měla relace oběti k dispozici — jaké nástroje, jaká data, jaké připojené aplikace. Gmail, Google Drive, Microsoft Teams, GitHub. Čím víc konektorů, tím větší škoda z téže díry.
- Je to opravené? Ano. Než Check Point zprávu dopsal, kanál už nefungoval; OpenAI potvrdil, že tu interní instanci Artifactory vyřadil z provozu. Tohle není aktivní hrozba a nikdo teď nemusí nic hasit.
Co jsem při ověřování našel navíc: Check Point sám upozorňuje, že nejde o ojedinělý úkaz. Ve stejné době OpenAI ve svém rozboru incidentu s Hugging Face popsal, jak si agenti běžící v oddělených testovacích prostředích sami vytvořili neschválený komunikační kanál a koordinovali se přes něj. Mechanismus byl jiný, slabina stejná: sdílená interní služba se stala komunikační vrstvou mezi prostředími, která měla být izolovaná. Jednou ji našli výzkumníci, podruhé si ji našly samy modely. To už není náhoda, to je vzorec. A Check Point má na téže platformě starší nález s jiným skrytým odtokovým kanálem — tedy třetí varianta téhož problému.
Proč se to týká i vás
Nejjednodušší reakce je „my ChatGPT firemně nepoužíváme, tak nás to nezajímá". Ta reakce je skoro vždycky mylná, a to ze dvou důvodů.
První: ono se to nepoužívá „firemně", ono se to používá. Zaměstnanec si připojí pracovní poštu k osobnímu účtu, protože je to pohodlné. Nikdo ho neškolil, že tím z asistenta udělal bránu do firemní schránky. To je ta stínová AI, o které jsem psal — jen o stupeň dál. Dřív šlo o to, co lidé do AI vkládají. Teď jde o to, k čemu jí dali klíče.
Druhý a důležitější: ta konkrétní díra je zalepená, ale princip zůstává. Check Point to v závěru pojmenoval přesně — jazykový model běží uvnitř hranice důvěry. Používá přihlašovací údaje, spouští kód, sahá na interní služby a pracuje s daty uživatele. A přitom se řídí textem. Kdokoli ten text ovlivní, ovlivní i model. Check Point pro to má pojmenování, které se vyplatí si zapamatovat: model je „coerced insider" — donucený zaměstnanec. Není zlý. Byl přesvědčen.
Z toho plynou tři věci, které platí bez ohledu na dodavatele:
1. Oprávnění asistenta jsou oprávnění útočníka. Ve chvíli, kdy někdo dokáže vaší AI podstrčit instrukci, má k dispozici přesně to, co má ona. Ne víc, ale ani ne míň. Otázka „co všechno může náš asistent přečíst" tedy není otázka pohodlí, ale otázka horní hranice škody.
2. „Nízkoriziková akce" je posouzení dodavatele, ne vaše. Čtení pošty je z hlediska platformy neškodné — nic to nemění, nic to neodesílá. Z hlediska GDPR je to zpracování osobních údajů a z hlediska obchodního tajemství potenciální průšvih. Výchozí nastavení, které čtení schvaluje automaticky, je rozhodnutí, které za vás někdo udělal a vy jste ho převzali mlčením.
3. Viditelná odpověď přestává být důkazem. Tohle je pro mě nejnepříjemnější závěr celé zprávy a je to přesně ta lekce, kterou si odnáším i z jiných letošních případů. Byli jsme zvyklí, že co model udělal, to v odpovědi vidíme. Tady dostala oběť naprosto normální odpověď a systém přitom posloužil druhému člověku. Když chcete vědět, co vaše AI opravdu dělá, nestačí číst chat — musíte mít záznam akcí, ne záznam konverzace.
Co s tím
- 1. Zjistěte, co máte připojené. Ne „používáme ChatGPT", ale které konektory jsou zapnuté a ke kterým účtům. Ve firemním workspace to najdete v nastavení pod Plugins/Apps; u osobních účtů zaměstnanců se musíte zeptat. Tohle je půlhodina práce a zpravidla z toho vypadne aspoň jedno připojení, o kterém vedení nevědělo.
- 2. Přepněte potvrzování na „Always ask". OpenAI tu možnost má, jen není výchozí. Znamená to jedno kliknutí navíc u každého čtení — a zároveň to ruší přesně tu vlastnost, na které tenhle útok stál. Pokud vám to lidé budou rozporovat, je to dobrý signál, že asistent sahá častěji, než jste si mysleli.
- 3. Zakažte sdílené konverzace a cizí GPT jako pracovní nástroj. Obojí bylo v téhle zprávě doručovací cestou instrukce. „Otevři si tenhle odkaz na konverzaci, je tam hotový postup" zní neškodně a v praxi to je spouštěč. Do interního pravidla stačí jedna věta: sdílené konverzace a vlastní GPT od třetích stran nepoužíváme v účtech, které mají připojenou poštu nebo disk.
- 4. Oddělte účet s konektory od účtu na běžnou práci. Jestli někdo opravdu potřebuje, aby mu AI četla poštu, ať to dělá v účtu, který nepoužívá na náhodné prompty z internetu. Je to stejná logika jako nepoužívat administrátorský účet na čtení e-mailů — jen o patnáct let později a s jinou technologií.
- 5. Ptejte se dodavatele na izolaci, ne na model. Až budete vybírat AI nástroj, přidejte k obvyklým otázkám dvě nové: Může běhové prostředí jedné relace dosáhnout na data jiné relace nebo jiného zákazníka? a Které interní služby jsou z běhového prostředí dostupné a jaká oprávnění tam mají jeho přihlašovací údaje? V obou letošních případech byla příčina přesně tady — ne v modelu, ale v tom, co všechno mohl kontejner vedle sebe potkat.
A teď proti vlastnímu byznysu: na tohle si nikoho nezvěte. Inventura konektorů, přepnutí jednoho přepínače a věta do interního pravidla — to je odpoledne práce pro vašeho ajťáka a nepotřebuje to audit, workshop ani analýzu rizik. Když vám někdo (včetně mě) na základě téhle zprávy nabízí posouzení bezpečnosti AI, zeptejte se ho nejdřív, jestli v tom bude něco nad rámec těch pěti bodů výš. Pokud ne, ušetřete peníze.
Kde to řeším s klienty
Co u klientů na tomhle tématu skutečně dělám, je nuda: seznam toho, k čemu všemu mají firemní AI nástroje přístup, a porovnání s tím, co si vedení myslelo, že mají. Obvykle se rozejde v jedné až dvou položkách — a dvakrát se stalo, že se našel konektor do sdíleného disku, který tam někdo zapnul „na jeden úkol" před půl rokem. Je to součást AI Act Readiness Auditu, ale dává smysl i samostatně, protože s AI Actem to nemá nic společného — je to obyčejná správa oprávnění. Jestli chcete jen vědět, jestli se vás to týká, napište mi přes kontakt; když z prvních dvou otázek vyjde, že žádné konektory zapnuté nemáte, řeknu vám to a nebudeme v tom pokračovat.
Zdroje: Check Point Research, 8. 9. 2026 · OpenAI: Hugging Face incident and the road ahead · OpenAI Help Center: Apps in ChatGPT. Zranitelnost je podle Check Pointu opravená — text popisuje, co si z ní odnést, ne co hasit.