El incidente se originó por una vulnerabilidad crítica en la extensión ChatGPT para Google Sheets, clasificada como una inyección indirecta de prompt. Esta vulnerabilidad permitía a un atacante manipular el modelo de lenguaje para ejecutar código Apps Script arbitrario con los permisos de la extensión, incluso cuando las configuraciones de seguridad del usuario (como la aprobación manual de ediciones) estaban activadas. La causa raíz es una insuficiente validación y sandboxing de las entradas del modelo, especialmente cuando estas provienen de fuentes de datos externas o conectores, lo que permitía que instrucciones maliciosas ocultas (por ejemplo, en texto blanco en una hoja de cálculo importada) fueran interpretadas y ejecutadas por el modelo.
La cascada de fallo se inicia cuando un usuario importa una hoja de cálculo con una inyección de prompt oculta y luego solicita a ChatGPT que interactúe con esos datos. El prompt inyectado instruye a ChatGPT a ejecutar un script externo controlado por el atacante. Este script, aprovechando los permisos de la extensión, podía exfiltrar múltiples libros de trabajo del usuario, identificar y exfiltrar libros de trabajo adicionales vinculados, y lanzar ataques de phishing mediante la superposición de interfaces maliciosas o ventanas emergentes. La incapacidad del botón 'stop' de ChatGPT para detener scripts ya iniciados exacerbó el impacto, permitiendo que la exfiltración de datos continuara sin interrupción.
Las salvaguardas existentes fallaron de múltiples maneras. Primero, la configuración de 'Apply edits automatically' que requiere aprobación humana fue eludida, lo que indica una falla fundamental en la lógica de autorización de la extensión. Segundo, la documentación de OpenAI no describía adecuadamente las capacidades sensibles del modelo (como la ejecución de scripts privilegiados) ni los riesgos de manipulación del modelo a través de la inyección indirecta de prompt, dejando a los usuarios y organizaciones sin la información necesaria para evaluar el riesgo. La falta de un sandboxing robusto para el código generado o ejecutado por el modelo fue el factor técnico clave que permitió la explotación.