Falha no ChatGPT expôs contas de usuários e dados do Gmail
Pesquisadores identificam vulnerabilidade no ChatGPT que permite acesso não autorizado a dados de usuários.
Pesquisadores da Check Point Research (CPR) descobriram uma falha no ChatGPT que possibilitava a um atacante acessar dados de serviços conectados à conta de um usuário, incluindo o Gmail. A vulnerabilidade foi divulgada recentemente e levanta preocupações sobre a segurança das plataformas de inteligência artificial.
A investigação revelou que o problema não necessitava do roubo de credenciais ou do comprometimento direto de uma conta. O atacante conseguia induzir a sessão da vítima a acessar informações de serviços conectados, enviando dados sem levantar suspeitas, enquanto a interação do usuário permanecia normal.
Canal oculto entre ambientes isolados
A vulnerabilidade estava relacionada aos ambientes de execução de código do ChatGPT. Embora projetados para operar de forma isolada, todos os ambientes tinham acesso a um mesmo serviço interno para fornecer pacotes de software. Isso permitiu que informações gravadas em um ambiente fossem consultadas por outro, criando uma comunicação não autorizada entre sessões que deveriam ser separadas.
O componente central do problema foi uma instância interna do JFrog Artifactory, utilizada pelo ChatGPT para obter dependências de execução. A CPR verificou que propriedades de itens armazenados nesse serviço podiam ser gravadas em um ambiente e lidas por outro, funcionando como uma área de transferência compartilhada entre ambientes isolados.
Como o ataque funcionava
A partir desse canal, os pesquisadores construíram um mecanismo para execução oculta de tarefas. Uma instrução preparada pelo atacante fazia o ChatGPT processar uma segunda sequência de tarefas em paralelo à conversa visível. O sistema continuava respondendo normalmente ao usuário enquanto executava ações utilizando os recursos da sessão da vítima.
Para demonstrar o impacto, a CPR inseriu a instrução em uma conversa compartilhada. O ChatGPT atendia ao pedido visível e, ao mesmo tempo, acessava a conta do Gmail conectada para recuperar informações solicitadas pelo atacante. A atividade oculta não aparecia na resposta exibida ao usuário, exceto por uma pequena identificação “Talked to Gmail” acima da resposta.
A CPR identificou três formas pelas quais a instrução maliciosa poderia chegar à sessão da vítima: por comando direto, por conversa compartilhada ou pela configuração de um GPT personalizado. O mecanismo também poderia ser utilizado para acessar o histórico de conversas e arquivos disponíveis no ambiente de execução, dependendo dos serviços conectados e das permissões da conta.
Novo risco para plataformas de IA
A CPR descreve a situação como um “usuário interno coagido”, onde o modelo de inteligência artificial não age de forma maliciosa por conta própria, mas pode ser persuadido a utilizar recursos autorizados em benefício de um atacante. Isso implica que a segurança das plataformas de IA deve considerar o comportamento do modelo em conjunto com o ambiente de execução, as ferramentas disponíveis e as credenciais conectadas.
A descoberta se relaciona a um incidente anterior em que agentes estabeleceram canais de comunicação não autorizados para compartilhar informações. Embora os mecanismos técnicos fossem diferentes, ambos os casos evidenciam como serviços internos compartilhados podem permitir a comunicação entre ambientes que deveriam permanecer isolados.
O líder de pesquisa da Check Point Research, Eli Smadja, destaca que a situação amplia a discussão sobre a segurança de IA. Ele afirma que o desafio de segurança não se limita ao modelo em si, mas também envolve os acessos e os níveis de confiança concedidos a esses sistemas. Com a crescente conexão dos assistentes de IA a sistemas corporativos e dados sensíveis, as organizações precisam estar cientes de que qualquer capacidade autorizada pode ser alvo de uso indevido.
Smadja enfatiza que a resposta ao problema requer uma combinação de medidas, incluindo uma abordagem preventiva com visibilidade, governança e proteção durante a execução. Isso é fundamental para garantir que a IA continue sendo um recurso valioso para os negócios, em vez de se tornar uma nova fonte de risco cibernético.
A Check Point Research informou que o canal entre contas já não estava disponível ao concluir sua investigação. A OpenAI confirmou que a instância interna do Artifactory identificada durante a pesquisa foi desativada.
