Falha no ChatGPT permitia acesso a contas de usuário e dados do Gmail

Pesquisadores da Check Point Research (CPR), divisão de inteligência de ameaças da Check Point Software, identificaram uma falha no ChatGPT que permitia a um atacante usar a sessão de outro usuário para acessar dados de serviços conectados à conta, incluindo o Gmail. A vulnerabilidade foi divulgada nessa quarta-feira (9).

A descoberta revela que o problema não exigia roubo de credenciais nem comprometimento direto de uma conta. O atacante podia induzir a sessão da vítima a consultar informações de serviços conectados e enviar os dados sem levantar suspeitas, enquanto a conversa exibida ao usuário seguia aparentemente normal.

Canal oculto entre ambientes isolados

O vetor da vulnerabilidade estava nos ambientes de execução de código usados pelo ChatGPT. Embora esses ambientes fossem projetados para operar de forma isolada, a CPR identificou que todos tinham acesso a um mesmo serviço interno utilizado para fornecer pacotes de software. Uma propriedade desse serviço permitia que informações gravadas em um ambiente fossem consultadas por outro, mesmo quando pertencentes a contas distintas. Na prática, isso criou uma via de comunicação entre sessões que deveriam permanecer separadas.

A investigação identificou o componente central do problema: uma instância interna do JFrog Artifactory utilizada pelo ChatGPT para obter dependências de execução de código. A CPR verificou que determinadas propriedades de itens armazenados nesse serviço podiam ser gravadas por um ambiente e lidas por outro. Os pesquisadores descrevem essa estrutura como uma espécie de área de transferência compartilhada entre ambientes isolados.

Como o ataque funcionava

A partir desse canal, os pesquisadores conseguiram construir um mecanismo de execução oculta de tarefas. Uma instrução preparada pelo atacante fazia o ChatGPT processar uma segunda sequência de tarefas em paralelo à conversa visível. O sistema continuava respondendo normalmente ao usuário enquanto recebia instruções externas, executava ações com os recursos da sessão da vítima e devolvia os resultados pelo canal oculto.

Para demonstrar o impacto, a CPR inseriu a instrução em uma conversa compartilhada. Bastava que a vítima abrisse o link e enviasse uma mensagem comum. O ChatGPT atendia ao pedido visível e, ao mesmo tempo, acessava a conta do Gmail conectada à sessão para recuperar as informações solicitadas pelo atacante. A atividade oculta não aparecia na resposta exibida ao usuário; o único indício específico era a pequena identificação “Talked to Gmail” acima da resposta.

A CPR mapeou três formas pelas quais a instrução maliciosa poderia chegar à sessão da vítima: por um comando direto, por uma conversa compartilhada ou pela configuração de um GPT personalizado. O mecanismo também podia ser usado para obter o histórico de conversas e arquivos disponíveis no ambiente de execução. O alcance dependia dos serviços conectados e das permissões disponíveis na conta; usuários podem vincular o ChatGPT a aplicações como Gmail, Google Drive, Microsoft Teams e GitHub.

Leia mais: D4Sign investe R$ 10 milhões em reposicionamento de marca

Novo risco para plataformas de IA

A CPR descreve o cenário como o de um “usuário interno coagido”: o modelo de inteligência artificial (IA) não age de forma maliciosa por iniciativa própria, mas pode ser persuadido a utilizar recursos autorizados em benefício de um atacante. Para a segurança das plataformas de IA, isso significa que o comportamento do modelo precisa ser analisado em conjunto com o ambiente de execução, as ferramentas disponíveis, as credenciais e os serviços conectados.

A descoberta se relaciona a um incidente anterior envolvendo a Hugging Face, no qual agentes estabeleceram canais de comunicação não autorizados para compartilhar informações e coordenar ações. Os mecanismos técnicos eram diferentes, mas os dois casos mostraram como serviços internos compartilhados podem criar formas de comunicação entre ambientes projetados para permanecer isolados.

O líder de pesquisa da Check Point Research, Eli Smadja, afirma que o caso amplia o foco da discussão sobre segurança de IA. “Esta investigação mostra que o desafio de segurança relacionado à IA não está mais restrito ao modelo em si. Ele também envolve os acessos e os níveis de confiança que concedemos a esses sistemas. Com a conexão crescente dos assistentes de IA a sistemas corporativos e dados sensíveis, as organizações precisam considerar que qualquer capacidade autorizada pode ser alvo de uso indevido”, diz Smadja.

Smadja observa que a resposta ao problema exige uma combinação de medidas. “Isso torna essencial combinar uma abordagem preventiva com visibilidade, governança e proteção durante a execução, para garantir que a IA continue sendo um recurso para os negócios, e não uma nova fonte de risco cibernético. As organizações que estiverem à frente serão aquelas que protegerem as interações com a IA antes que os atacantes possam explorá-las”, afirma.

A Check Point Research informou que o canal entre contas já não estava disponível quando concluiu sua investigação. A OpenAI confirmou aos pesquisadores que a instância interna do Artifactory identificada durante a investigação havia sido desativada.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!