Idea principal

Para sacar texto de una conversación hacia un servidor personal, se puede disfrazar una escritura de lectura: en lugar de enviar los datos, se deslizan en la dirección de una página web y se le pide al asistente que consulte esa página. Del lado del servidor, la treta funciona perfectamente — desde un navegador, desde una orden en línea de comandos.

Falla en cuanto es el asistente quien fabrica la dirección a partir del contenido del intercambio y luego la consulta. Sus protecciones de navegación bloquean la operación.

La razón es que la protección no recae sobre la forma de la petición, sino sobre quién la fabrica y con qué. Disfrazar la petición no cambia nada de esos dos parámetros.

Por qué es importante

Esto da un criterio antes de invertir en un rodeo: ¿de qué depende la restricción? Si depende de la forma — un método, un tipo de llamada —, disfrazarla puede funcionar. Si depende del actor o de la procedencia de los datos, ningún disfraz saldrá adelante, y el tiempo invertido estará perdido.

El fracaso es además coherente: el mecanismo apuntaba exactamente a lo que se intentaba hacer, sacar automáticamente contenido de conversación hacia un servidor de terceros.

Matices y límites

La constatación vale para las protecciones observadas aquí, en un momento dado. Evolucionan, y nada garantiza que sigan situadas en el mismo sitio.

Y no dice nada sobre la legitimidad del rodeo: un uso personal y un uso desviado se topan con el mismo muro, por buenas razones en un solo caso.

Preguntas abiertas

• ¿Cómo identificar, sin probarlo todo, sobre qué recae realmente una restricción?