La vulnerabilità individuata da Objective-See Foundation era sfruttabile soltanto su computer già infettati da malware. Secondo la ricostruzione di Wired, OpenAI ha riportato la correzione nel changelog del 25 settembre. Non sono indicati casi di sfruttamento reale né il numero degli utenti potenzialmente coinvolti.
Una vulnerabilità nell’applicazione ChatGPT per macOS poteva consentire a un software malevolo di accedere alle conversazioni e ad altri dati dell’app, estendendo il rischio a risorse collegate, come le sessioni del browser. La falla è stata individuata dai ricercatori di Objective-See Foundation e descritta in una ricostruzione pubblicata da Wired, successivamente ripresa da 3DNews. Per sfruttarla, tuttavia, l’attaccante doveva disporre di una condizione preliminare decisiva: sul computer preso di mira doveva essere già presente un malware. Il problema riguardava quindi la possibilità, per un software malevolo già installato sul Mac, di aggirare i controlli dell’applicazione e utilizzare ChatGPT come punto di accesso a informazioni e funzionalità ulteriori. Secondo quanto riferito da Wired, OpenAI ha riconosciuto pubblicamente la vulnerabilità e riportato la relativa correzione nel proprio changelog il 25 settembre. La ricostruzione disponibile non indica però la versione dell’app interessata, quella contenente la modifica o la data esatta in cui l’intervento è stato distribuito agli utenti. Al centro della falla c’era il meccanismo con il quale i componenti dell’app verificavano l’origine delle richieste.
I controlli utilizzavano le firme digitali per distinguere i processi riconducibili a OpenAI dal software esterno e prendevano in esame anche i processi che li avevano avviati, descritti come processo “genitore” e processo “nonno”. L’obiettivo era accertare che una richiesta arrivasse da una catena di esecuzione considerata attendibile. I ricercatori hanno però individuato un interprete di script che, pur riconosciuto come affidabile dal sistema, poteva accettare comandi provenienti da una fonte non attendibile e introdurli nel processo principale di ChatGPT. Secondo la descrizione attribuita al ricercatore Patrick Wardle, una catena di avvii dell’interprete permetteva di aggirare il controllo sull’origine della richiesta, facendola apparire legittima al software OpenAI. Il punto critico era dunque la distanza tra l’affidabilità del componente utilizzato e quella dei comandi che il componente poteva ricevere: un programma considerato sicuro finiva per veicolare istruzioni esterne che non avrebbero dovuto beneficiare della stessa fiducia. Wired riferisce che la prova di concetto sviluppata da Wardle richiedeva circa una dozzina di righe di codice e che il ricercatore ha definito lo sfruttamento “estremamente semplice”. Questa valutazione riguarda la dimostrazione tecnica descritta, mentre nelle informazioni riportate non compaiono casi documentati di attacchi contro utenti. Le conseguenze potenziali andavano oltre la lettura delle conversazioni. La vulnerabilità, secondo la ricostruzione, poteva essere utilizzata anche per impartire comandi attraverso ChatGPT, con la possibilità di accedere al browser o ad altre applicazioni sensibili. È questo aspetto a rendere il caso rilevante per la sicurezza delle applicazioni di intelligenza artificiale integrate nei computer: una falla nei controlli di un’app può consentire a un malware già presente di raggiungere risorse alle quali non avrebbe dovuto accedere attraverso quel percorso. La necessità di un’infezione preliminare resta un elemento essenziale per valutare la portata del problema, ma non elimina il rischio aggiuntivo introdotto da un’applicazione vulnerabile. Un software malevolo può infatti tentare di ampliare il proprio raggio d’azione sfruttando componenti e autorizzazioni di altri programmi.
Nel commentare la vicenda, il portavoce di OpenAI Shane Bauer ha dichiarato: “Continuiamo a evolvere le nostre pratiche di sicurezza, ma riconosciamo la necessità di muoverci più rapidamente”. La dichiarazione accompagna il riconoscimento della falla e della correzione riferito da Wired, senza fornire, nella ricostruzione riportata, ulteriori dettagli sull’intervento tecnico o sul numero degli utenti potenzialmente esposti. Wardle ha collegato il caso a una questione più ampia: gli agenti di intelligenza artificiale, per svolgere compiti nelle applicazioni e interagire con le risorse del computer, possono avere bisogno di accessi estesi. Se compromessi, questi sistemi possono quindi diventare un tramite verso dati e funzionalità protette. Si tratta della valutazione del ricercatore, non di una misurazione indipendente della sicurezza dell’intera categoria di prodotti. Il caso descritto riguarda una specifica vulnerabilità dell’app ChatGPT per macOS e non consente, da solo, di attribuire lo stesso problema ad altre applicazioni. Nella propria ricostruzione Wired richiama anche un precedente distinto: Wardle aveva individuato una falla nella funzione di dettatura dell’assistente Muse AI di Meta, successivamente corretta, che avrebbe potuto permettere a un attaccante locale di sottrarre un token di autenticazione e accedere ai dati dell’utente. Il riferimento mostra un altro possibile punto di esposizione nelle applicazioni AI, ma non riguarda il medesimo difetto riscontrato in ChatGPT. Separata è anche un’ulteriore segnalazione presentata da Wardle a OpenAI sull’integrazione tra ChatGPT e Dots, l’assistente descritto come sempre attivo.
Al momento della pubblicazione dell’articolo di Wired, l’azienda stava esaminando il rapporto: la segnalazione non era quindi presentata come una vulnerabilità confermata e non risultavano disponibili dettagli sufficienti per valutarne funzionamento e conseguenze. La testata ha aggiornato il proprio articolo il 2 ottobre 2026, aggiungendo informazioni sulle modalità di sfruttamento della falla nell’app per macOS, e ha riferito che Wardle avrebbe dovuto presentare a novembre un’analisi dei bug nelle applicazioni AI per Mac alla conferenza Objective by the Sea, dedicata alla sicurezza dell’ecosistema Apple. Restano diversi elementi non chiariti nella documentazione riportata: non sono indicati un identificativo tecnico della vulnerabilità, le versioni coinvolte, il numero degli utenti potenzialmente esposti o eventuali vittime. Non sono inoltre descritti i dettagli della correzione né il momento preciso della sua distribuzione. Il quadro disponibile riguarda dunque una falla dimostrata dai ricercatori e una correzione riferita da Wired, con una condizione di sfruttamento precisa — la presenza preventiva di malware sul computer — ma senza informazioni che permettano di quantificare l’impatto effettivo sugli utenti.
Commenti recenti