Dal 25 agosto, il browser cloud di ChatGPT può accedere a siti protetti da password. Le credenziali passano tramite un modulo sicuro direttamente al browser remoto; il modello non le vede mai, non vengono memorizzate, non vengono usate per l'addestramento e un modello di revisione separato controlla il phishing prima che il modulo appaia. Tutto questo è reale e ben progettato.

La password non è mai stata l'asset

Una volta inserite le credenziali, una sessione autenticata live rimane sui server di OpenAI e — nelle parole di OpenAI — "l'autenticazione persisterà per le attività future fino alla sua scadenza." Un cookie di sessione persistente concede l'accesso all'account senza la password e senza il secondo fattore. Il perimetro di sicurezza è passato da "OpenAI non detiene credenziali" a "OpenAI detiene un bearer token del tuo account". È un'affermazione più debole vestita con gli abiti di una più forte. Le sessioni possono essere cancellate per singolo sito o globalmente nelle Impostazioni.

Cosa sbaglia la cornice più comune

La seconda rassicurazione è che l'agente chieda prima di azioni rilevanti. Lo fa — nel percorso interattivo. Ma la documentazione di automations di OpenAI, pubblicata apertamente, afferma che "le attività pianificate usano approval_policy = \"never\" quando la policy della tua organizzazione lo consente" e che "le attività pianificate vengono eseguite senza supervisione e usano le impostazioni predefinite della sandbox." Se un amministratore lo vieta, le attività tornano alla modalità di autorizzazione selezionata. Altrimenti il prompt di conferma protegge il percorso con un umano che osserva, mentre il percorso guidato dagli eventi — quello con nessuno che osserva — viene eseguito con le approvazioni disattivate.

Per essere precisi su ciò che OpenAI dice e non dice

OpenAI non afferma da nessuna parte, in una singola frase, che una sessione persistente del browser si combini con un'attività pianificata senza supervisione. Quella combinazione è la nostra lettura di due pagine della sua documentazione, e va interpretata come tale piuttosto che come un comportamento dichiarato. Entrambe le parti sono citate sopra dal materiale di OpenAI; ciò che non è accaduto è che qualcuno le abbia lette in relazione l'una con l'altra.

Perché i trigger contano

Le automazioni si attivano tramite webhook: nuovi messaggi Gmail filtrati per mittente o oggetto, nuovi messaggi Slack in canali selezionati, attività sui pull request di GitHub. Sono tutte superfici su cui un esterno può scrivere. Un prompt injection inserito in una email in arrivo o nel titolo di un pull request ora raggiunge un'attività che gira secondo una pianificazione, all'interno di una sessione del browser autenticata, con le approvazioni disattivate di default.