Уязвимость в ChatGPT: вредоносные приглашения в Google Calendar могут привести к утечке писем

Исследователь безопасности продемонстрировал, как вредоносное приглашение в Google Calendar может осуществлять инъекцию промптов в ChatGPT и заставлять его раскрывать конфиденциальные письма при подключенных сервисах Google. В публикации на X от 12 сентября Эйто Миямура описал простой сценарий: злоумышленник отправляет календарное приглашение с инструкциями и ждет, пока жертва обратится к ChatGPT с запросом на выполнение действия. ChatGPT затем читает скомпрометированное событие и следует инструкциям по поиску в Gmail и извлечению конфиденциальной информации. «Все, что нужно? Email-адрес жертвы», — утверждает Миямура.

В середине августа OpenAI представила нативные коннекторы для Gmail, Google Calendar и Google Contacts в ChatGPT, изначально для пользователей Pro, а затем и для Plus. В примечаниях к выпуску указано, что после авторизации ассистент может автоматически обращаться к этим источникам в чате. Это означает, что обычный вопрос «Что у меня в календаре на сегодня?» может извлекать данные напрямую из вашего аккаунта Google без явного выбора источника каждый раз.

Справочный центр OpenAI уточняет, что автоматическое использование этих коннекторов Google включено по умолчанию после активации, и что его можно отключить в настройках ChatGPT, если предпочтительнее выбирать источники вручную. На той же странице объясняется, что пользовательские коннекторы с использованием Model Context Protocol предназначены для разработчиков и не идентифицируются OpenAI. Это особенно важно отметить, поскольку Миямура описывает атаку в контексте недавней поддержки MCP и быстро растущих экосистем инструментов.

Мы заставили ChatGPT раскрыть ваши личные email-данные. Все, что нужно? Email-адрес жертвы. 🛡️В среду @OpenAI добавила полную поддержку инструментов MCP (Model Context Protocol) в ChatGPT. Это позволяет ChatGPT подключаться и читать ваш Gmail, Calendar, Sharepoint, Notion,… pic.twitter.com/E5VuhZp2u212 сентября 2025

Под капотом происходит косвенная инъекция промптов. Инструкции злоумышленника скрыты внутри данных, которые ассистенту разрешено читать — в данном случае, в тексте календарного события. В августе исследователи показали, как скомпрометированное приглашение могло направлять Gemini от Google на управление устройствами умного дома и утечку информации; эта работа была задокументирована как в обзорах по безопасности, так и в статье под названием «Invitation Is All You Need». Технические детали различаются в зависимости от платформы, но основной риск одинаков, как только ассистенту разрешено читать скомпрометированный календарный контент.

В конечном счете, ничего не произойдет, если вы сначала не подключите Gmail и Calendar внутри ChatGPT, и поведение ассистента по-прежнему зависит от политик и промптов, применяемых OpenAI при обработке стороннего контента. В документации также отмечается, что вы можете отключать источники или запрещать автоматическое использование, что ограничивает возможности скомпрометированного события влиять на обычный чат.

Если вы обеспокоены, наиболее эффективное решение находится на стороне Google. Измените настройку «Автоматически добавлять приглашения» в Google Calendar так, чтобы на вашем календаре появлялись только приглашения от известных отправителей или те, которые вы принимаете, и рассмотрите возможность скрытия отклоненных событий. Справочные страницы Google подробно описывают эти варианты, а администраторы Google Workspace могут установить более безопасные настройки по умолчанию для всей организации.

Главный вывод из этого не в том, что ChatGPT или Gmail были «взломаны», а в том, что ИИ, использующий инструменты, необычно восприимчив к враждебным инструкциям, скрытым в данных, которые вы разрешаете ему читать. Коннекторы, которые делают этих ассистентов в некоторой степени полезными, также расширяют поверхность атаки на календари и почтовые ящики. Пока индустрия не внедрит более надежные, включенные по умолчанию защиты от косвенной инъекции промптов, самым безопасным курсом действий будет консервативный подход к подключению аккаунтов и, в этом конкретном сценарии, защита вашего календаря, чтобы незнакомцы не могли подкладывать сюрпризы.

Источник: Tomshardware.com