Aislar a cada usuario en su propio contenedor no sirve de mucho si todos los contenedores comparten un servicio con permisos de escritura. Check Point Research mostró que justo eso ocurría con la ejecución de código de ChatGPT, y la lección aplica a cualquier plataforma de agentes multiinquilino.
Check Point Research describió un canal encubierto que permitiría a un atacante usar la sesión de ChatGPT de una víctima para ejecutar tareas ocultas con las herramientas, los datos y las aplicaciones conectadas disponibles en esa sesión. Cada usuario ejecuta código en su propio contenedor aislado, pero esos contenedores accedían a un mismo repositorio interno de paquetes (JFrog Artifactory) para descargar dependencias.
Los investigadores observaron que las credenciales entregadas a los contenedores tenían permisos suficientes para adjuntar y leer metadatos (propiedades) sobre elementos del repositorio mediante la API de gestión de ítems de Artifactory, sin aislamiento por cuenta. Al codificar datos en esas propiedades, contenedores de usuarios distintos podían intercambiar información a través del servicio compartido: en palabras del informe, un portapapeles compartido entre contenedores aislados.
El vector de entrega podía ser un prompt malicioso, una conversación compartida o un GPT personalizado. Una vez activo, el canal permitía procesar un flujo de tareas visible y otro oculto dentro del mismo turno. En la demostración, ChatGPT recuperó datos del Gmail de la víctima mientras respondía con normalidad a la pregunta visible; la única pista era una etiqueta discreta de “Talked to Gmail”.
Este caso no es una falla del modelo ni un jailbreak. Es un fallo clásico de aislamiento de inquilinos en la infraestructura que rodea al modelo. Check Point enfatiza que las plataformas agénticas deben proteger todo recurso al que el modelo tiene acceso: APIs internas, estado compartido, credenciales y herramientas, con aislamiento por inquilino y mínimo privilegio.
Si compras plataformas de IA:
Si construyes tu propia plataforma de agentes: audita qué credenciales recibe cada sandbox, usa credenciales de solo lectura y por inquilino para dependencias, y trata cualquier recurso compartido como un posible canal lateral.
Si necesitas una revisión de aislamiento y permisos de tus agentes, escríbenos a info@guatemalia.com.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel