Vulnerabilidade no ChatGPT Permite Acesso Não Autorizado a Dados do Gmail

Pesquisadores da Check Point Research (CPR) revelaram uma vulnerabilidade significativa no ChatGPT, que possibilita a um atacante acessar dados de serviços conectados à conta do usuário, como o Gmail. Essa falha foi divulgada em 9 de setembro de 2026 e levanta preocupações sobre a segurança das interações em plataformas de inteligência artificial.

A vulnerabilidade identificada não requer o roubo de credenciais ou o comprometimento direto de uma conta. Em vez disso, um atacante pode induzir a sessão da vítima a consultar informações de serviços conectados, enviando dados sem levantar suspeitas, enquanto a conversa visível ao usuário continua aparentemente normal. Essa situação evidencia a complexidade das interações em ambientes de IA e a necessidade de uma vigilância constante.

O vetor da vulnerabilidade reside nos ambientes de execução de código utilizados pelo ChatGPT. Embora esses ambientes sejam projetados para operar de forma isolada, a CPR descobriu que todos tinham acesso a um serviço interno comum, utilizado para fornecer pacotes de software. Uma propriedade desse serviço permitia que informações gravadas em um ambiente fossem consultadas por outro, criando uma comunicação não autorizada entre sessões que deveriam permanecer separadas.

A investigação revelou que o problema central estava relacionado a uma instância interna do JFrog Artifactory, que o ChatGPT utiliza para obter dependências de execução de código. Os pesquisadores identificaram que certas propriedades de itens armazenados nesse serviço podiam ser gravadas por um ambiente e lidas por outro, funcionando como uma área de transferência compartilhada entre ambientes isolados.

Com esse canal, os pesquisadores conseguiram desenvolver um mecanismo que permitia a execução oculta de tarefas. Um comando preparado pelo atacante fazia com que o ChatGPT processasse uma sequência de tarefas em paralelo à conversa visível. O sistema continuava a responder normalmente ao usuário, enquanto recebia instruções externas e executava ações com os recursos da sessão da vítima, devolvendo os resultados pelo canal oculto.

Para demonstrar o impacto da vulnerabilidade, a CPR inseriu uma instrução em uma conversa compartilhada. Ao abrir um link e enviar uma mensagem comum, a vítima não apenas recebia a resposta visível, mas também permitia que o ChatGPT acessasse a conta do Gmail conectada à sessão para recuperar informações solicitadas pelo atacante. Essa atividade oculta não aparecia na resposta exibida ao usuário, exceto por uma pequena identificação que indicava que o ChatGPT havia interagido com o Gmail.

Os pesquisadores mapearam três formas pelas quais a instrução maliciosa poderia chegar à sessão da vítima: através de um comando direto, por meio de uma conversa compartilhada ou pela configuração de um GPT personalizado. O alcance da exploração dependia dos serviços conectados e das permissões disponíveis na conta, uma vez que usuários podem vincular o ChatGPT a aplicações como Gmail, Google Drive, Microsoft Teams e GitHub.

A CPR descreve o cenário como o de um “usuário interno coagido”, onde o modelo de IA não age de forma maliciosa por conta própria, mas pode ser persuadido a utilizar recursos autorizados em benefício de um atacante. Isso implica que a segurança das plataformas de IA deve ser analisada em conjunto com o ambiente de execução, as ferramentas disponíveis, as credenciais e os serviços conectados.

A descoberta se relaciona a um incidente anterior envolvendo a Hugging Face, onde agentes estabeleceram canais de comunicação não autorizados para compartilhar informações e coordenar ações. Embora os mecanismos técnicos fossem diferentes, ambos os casos demonstram como serviços internos compartilhados podem criar formas de comunicação entre ambientes que deveriam ser isolados.

Eli Smadja, líder de pesquisa da Check Point Research, enfatiza que essa investigação amplia o foco da discussão sobre segurança em IA. Ele afirma que o desafio de segurança não se limita apenas ao modelo em si, mas também envolve os acessos e os níveis de confiança que concedemos a esses sistemas. Com a crescente conexão dos assistentes de IA a sistemas corporativos e dados sensíveis, as organizações precisam considerar que qualquer capacidade autorizada pode ser alvo de uso indevido.

A resposta ao problema exige uma combinação de medidas. Smadja destaca a importância de adotar uma abordagem preventiva, que inclua visibilidade, governança e proteção durante a execução, para garantir que a IA continue sendo um recurso valioso para os negócios, e não uma nova fonte de risco cibernético. As organizações que se anteciparem a essas questões serão aquelas que protegerem as interações com a IA antes que os atacantes possam explorá-las.

A Check Point Research informou que o canal entre contas já não estava disponível ao concluir sua investigação. A OpenAI confirmou que a instância interna do Artifactory identificada durante a investigação foi desativada, mas a situação ressalta a necessidade de vigilância contínua em relação à segurança das interações em plataformas de IA.

Esse incidente não apenas destaca a vulnerabilidade do ChatGPT, mas também serve como um alerta para outras plataformas de IA que operam em ambientes semelhantes. A segurança deve ser uma prioridade, especialmente à medida que mais organizações adotam soluções de IA em suas operações diárias.

Em resumo, a descoberta da Check Point Research sobre a vulnerabilidade no ChatGPT é um chamado à ação para empresas e desenvolvedores. A segurança em ambientes de IA deve ser tratada com a mesma seriedade que a segurança de dados tradicionais, considerando as complexidades e os riscos associados a essas tecnologias emergentes. A proteção de dados sensíveis e a confiança do usuário dependem de uma abordagem proativa e integrada à segurança.

A análise contínua e a implementação de medidas de segurança robustas são essenciais para garantir que a inteligência artificial continue a ser uma ferramenta poderosa e segura para os negócios, evitando que se torne um vetor de risco cibernético.