惡意 Google 日曆邀請可劫持 ChatGPT，竊取你的 Gmail 郵件

在最近的安全研究中，研究人員揭示一種新的攻擊方式，利用受損的 Google 日曆邀請來劫持 ChatGPT 的 Gmail 連接器，並洩露私人電子郵件。這一發現由資安研究員 Eito Miyamura 提出，她在 12 日於社群媒體上詳細說明這個過程。

根據 Miyamura 的說法，攻擊者可以發送一個包含惡意指令的日曆邀請，當受害者與 ChatGPT 互動並請求其執行某個操作時，ChatGPT 會讀取這個被設計的事件，並根據指令搜尋 Gmail 中的敏感資訊。Miyamura 指出，進行這一攻擊所需的唯一條件是受害者的電子郵件地址。

We got ChatGPT to leak your private email data ??

All you need? The victim’s email address. ⛓️‍???

On Wednesday, @OpenAI added full support for MCP (Model Context Protocol) tools in ChatGPT. Allowing ChatGPT to connect and read your Gmail, Calendar, Sharepoint, Notion,… pic.twitter.com/E5VuhZp2u2

— Eito Miyamura | ???? (@Eito_Miyamura) September 12, 2025

OpenAI 在 2023 年 8 月中旬推出了 ChatGPT 的原生 Gmail、Google 日曆和 Google 聯絡人連接器，最初僅對 Pro 用戶開放，隨後擴展到 Plus 用戶。這些連接器允許 ChatGPT 在獲得授權後自動引用這些來源的數據，這意味著用戶可以輕鬆查詢日曆而無需每次都選擇來源。

Miyamura 強調，這一攻擊利用了最近對模型上下文協議（MCP）的支持，這是一種允許大型語言模型與外部工具（如 Gmail、日曆）互動的協議，進而擴展了模型的能力與風險。這種間接的提示注入攻擊方式，讓攻擊者的指令隱藏在助理被允許閱讀的數據中，進而造成潛在的安全風險。

儘管如此，這一攻擊的前提是用戶必須首先在 ChatGPT 中連接 Gmail 和日曆，助理的行為仍然取決於 OpenAI 在處理第三方內容時所應用的政策和提示。用戶可以選擇斷開來源或禁用自動使用，這樣可以減少受損事件影響日常聊天的機會。

為了提高安全性，建議用戶在 Google 日曆中更改「自動添加邀請」的設置，僅允許來自已知發件人或接受的邀請出現在日曆上，並考慮隱藏已拒絕的事件。Google 的支援頁面提供了詳細的操作指南，Google Workspace 管理員也可以設置更安全的默認選項。

這個事件提醒我們，雖然 ChatGPT 或 Gmail 並未被駭客攻擊，但使用工具的 AI 對於潛藏在用戶允許其閱讀的數據中的惡意指令特別敏感。這些連接器雖然使助理更有用，但也擴大了攻擊面，直到行業推出更強大的防禦措施，最安全的做法是謹慎選擇連接的帳號，並在此情況下加強日曆的安全性，以防止陌生人植入惡意內容。

（首圖來源：Unsplash）