ALERTA: OpenAI parchea un fallo en ChatGPT que podía exfiltrar datos de Gmail/Outlook/GitHub (sin clic)

CIBERSEGURIDAD · IA · CONECTORES (APPS) · ALERTA

1) Qué pasó exactamente (y por qué no es “un bug más”)

La historia, resumida sin humo:

• Radware demostró técnicas para colar instrucciones maliciosas dentro de contenido que ChatGPT lee a través de conectores (hoy llamados “apps”).
• Con esas instrucciones, el sistema podía extraer información sensible (del correo, repos, drive, historial del chat o memoria) y “sacarla” hacia fuera mediante mecanismos de red.
• OpenAI aplicó un parche el 16 de diciembre de 2025, y los investigadores verificaron que las cadenas de ataque descritas dejaron de funcionar.
• En enero de 2026 se publicó el análisis, y volvió a encender una alarma vieja: los modelos no distinguen bien entre “datos” e “instrucciones” cuando leen contenido no confiable.

Si esto te suena a “prompt injection”, es porque lo es. Y si además usas herramientas con IA dentro del navegador, este tema enlaza de forma directa con los riesgos de prompt injection en flujos con navegación y acciones: el problema se agrava justo cuando el modelo deja de ser “texto” y empieza a tocar sistemas reales.

2) Cómo funcionaba el ataque “sin clic” (explicado en claro)

Olvida por un segundo la palabra “hacker”. Piensa en algo más cotidiano: un email con un pie de página larguísimo. Ahora imagina que en ese pie de página hay texto escondido (por ejemplo, con tamaño minúsculo o colores invisibles) que el humano no ve… pero el modelo sí lee.

El flujo típico (a nivel conceptual) era este:

1. Entrada del atacante: llega un correo o documento “en apariencia normal” a un sistema que tú tienes conectado.
2. Tu acción legítima: tú le pides a ChatGPT una tarea útil (“búscame X”, “resume Y”, “revísame los PR pendientes”).
3. Lectura por parte del agente: ChatGPT accede al conector/app, lee contenido y se encuentra instrucciones camufladas.
4. Confusión crítica: el modelo interpreta parte de ese contenido como “órdenes” y no como “texto a resumir”.
5. Salida no deseada: intenta enviar información fuera (exfiltración) o preparar persistencia (que el comportamiento se repita en el futuro).

Lo importante aquí no es el truco exacto, sino el patrón: cualquier superficie donde un atacante pueda meter texto (correo, docs compartidos, issues, readmes, comentarios) se vuelve un vector si el agente lo lee y, además, tiene capacidades de red o acciones conectadas.

3) El detalle que lo vuelve peligroso: conectores + red + (a veces) memoria

Antes, un prompt injection te “engañaba” dentro del chat. Podía darte una respuesta mala o sacarte información del propio contexto de la conversación. Feo, sí… pero limitado.

Con conectores/apps, el modelo tiene acceso a sistemas externos. Y si además el flujo permite abrir enlaces, consultar recursos o ejecutar llamadas, aparece un canal de salida. En la investigación se describió un bypass especialmente ingenioso: en lugar de “construir” un enlace con datos (algo que OpenAI ya había intentado frenar), se podía forzar al agente a seguir una secuencia de enlaces preconstruidos que, vistos desde los logs del atacante, permiten reconstruir el texto filtrado carácter a carácter.

Y luego está el concepto que a muchas empresas les da escalofríos: persistencia. Si consigues que el agente “recuerde” una regla maliciosa, el problema ya no es “un chat concreto”, sino un comportamiento que se repite. Esto conecta con un punto más amplio que se ve cada vez más en organizaciones: Shadow AI y fugas por cuentas personales. Cuando mezclas datos sensibles, permisos amplios y flujos poco auditados, el riesgo no necesita exploits de película.

4) Qué cambió con el parche (y qué NO deberías asumir)

OpenAI aplicó mitigaciones para cortar esas cadenas de exfiltración. En las coberturas técnicas se menciona que una parte clave fue endurecer el comportamiento al seguir enlaces que provienen de contenido leído desde el correo (y, en general, reducir vías “automáticas” de salida que el usuario no inicia de forma explícita).

Pero hay una verdad incómoda: no existe un “parche definitivo” para el prompt injection como concepto. Habrá nuevas variantes, nuevos bypass, nuevas combinaciones. Por eso, tu defensa real no puede ser “ya lo han arreglado” sino “mis permisos y mi operativa están diseñados para que, si algo falla, el impacto sea mínimo”.

5) Kit rápido para protegerte hoy (10–30 minutos)

5.1 Revisa y desconecta apps/conectores que no uses

En ChatGPT, los conectores han pasado a integrarse como Apps. Si tienes cuentas conectadas que no son imprescindibles, desconéctalas ya. Menos superficie, menos sustos.

• Usuario: ve a Settings → Apps y desconecta lo que no uses (o lo que solo uses “a veces”).
• Empresa: limita qué apps están habilitadas en el workspace, aplica RBAC (por grupos) y evita habilitar acciones de escritura si no son estrictamente necesarias.
• Si tu equipo está empezando a formalizar este tema, encaja perfecto con documentar el uso de IA en la empresa: quién conecta qué, para qué y con qué permisos.

5.2 Revoca permisos OAuth en la fuente (Gmail/Outlook/GitHub)

Desconectar dentro de ChatGPT ayuda, pero el cierre “de verdad” es revocar el acceso en el proveedor. Así cortas tokens y permisos aunque alguien se haya dejado una sesión abierta.

• Google (Gmail/Drive): revisa “Conexiones de terceros / acceso de apps” en la seguridad de tu cuenta de Google y elimina el acceso que no proceda.
• Microsoft (Outlook/365): revisa las aplicaciones con permisos concedidos (portal “My Apps” o Entra, según tu caso) y revoca lo que no corresponda.
• GitHub: revisa “Applications / Authorized OAuth Apps” y revoca cualquier autorización que no sea imprescindible (especialmente si da acceso a repos privados).

5.3 Separa cuentas: “la cuenta con conectores” no debería ser tu vida entera

Esta es la medida más rentable: cuentas separadas. Si conectas el “correo principal con todo” (facturas, banca, RRHH, clientes, repos), estás apostando a que nunca fallará nada.

• Correo: crea una cuenta o buzón específico para tareas con IA (por ejemplo, solo newsletters internas, tickets o una carpeta/label controlada), y evita conectarlo a tu inbox completo.
• GitHub: si vas a conectar repos, usa un usuario “bot” con acceso solo a los repos necesarios y, si puedes, solo lectura.
• Drive/OneDrive: conecta una carpeta “sandbox” con documentos preparados, no todo tu drive.

5.4 Controla la Memoria (y usa chats temporales para tareas sensibles)

Parte del riesgo descrito en la investigación pasaba por “persistencia”: lograr que el sistema arrastre comportamientos a futuro. Aquí, dos hábitos simples ayudan mucho:

• Desactiva Memoria si estás conectando fuentes sensibles o si usas ChatGPT para tareas que no necesitan personalización.
• Usa chats temporales para temas delicados (clientes, contratos, credenciales, incidencias). Son conversaciones que no deberían alimentarse de memoria ni generar nuevas “pistas” persistentes.

Si tu caso de uso es “necesito trabajar con documentos, pero sin exponer cuentas conectadas”, quizá te encaje mejor una alternativa tipo chatbot privado para documentos en local (según contexto y requisitos). No es la solución universal, pero reduce drásticamente la superficie de ataque cuando el dato no debe salir.

6) Auditoría express: qué revisar si usas ChatGPT con apps en trabajo

No hace falta montar un SOC para mejorar hoy. Haz esta revisión rápida:

7) La conclusión incómoda (pero útil): esto va de diseño, no de pánico

Sí, OpenAI lo parcheó. Y eso es lo que queríamos que pasara. Pero el mensaje más valioso para ti (usuario o empresa) es otro: cuando conviertes un chat en un agente conectado, lo estás elevando a la categoría de “app con privilegios”.

Tu defensa real no es confiar en que nunca aparecerá otro “ZombieAgent”, sino construir una postura donde: los permisos estén acotados, las cuentas estén separadas, y la auditoría exista aunque sea mínima.

Si hoy haces solo una cosa, que sea esta: entra a tus apps/conectores y desconecta lo que no sea imprescindible. Lo demás (cuentas separadas, RBAC, logs) es el siguiente escalón. Pero con el primer paso ya recortas una parte enorme del riesgo.