Falha no ChatGPT expõe contas de usuários e dados do Gmail

Pesquisadores identificam vulnerabilidade no ChatGPT que pode comprometer dados de usuários.

Pesquisadores da Check Point Research (CPR) descobriram uma falha no ChatGPT que permitia a um atacante acessar dados de serviços conectados à conta de outro usuário, como o Gmail. A vulnerabilidade foi divulgada recentemente e levanta preocupações sobre a segurança das plataformas de inteligência artificial.

A descoberta revela que o problema não exigia o roubo de credenciais ou o comprometimento direto de uma conta. O atacante poderia induzir a sessão da vítima a consultar informações de serviços conectados e enviar dados sem levantar suspeitas, enquanto a conversa exibida ao usuário continuava aparentemente normal.

Canal oculto entre ambientes isolados

A vulnerabilidade estava nos ambientes de execução de código usados pelo ChatGPT. Embora esses ambientes fossem projetados para operar de forma isolada, a CPR identificou que todos tinham acesso a um mesmo serviço interno utilizado para fornecer pacotes de software. Uma propriedade desse serviço permitia que informações gravadas em um ambiente fossem consultadas por outro, criando uma comunicação entre sessões que deveriam permanecer separadas.

A investigação apontou para uma instância interna do JFrog Artifactory, utilizada pelo ChatGPT para obter dependências de execução de código. A CPR verificou que certas propriedades de itens armazenados nesse serviço podiam ser gravadas por um ambiente e lidas por outro. Essa estrutura foi descrita como uma área de transferência compartilhada entre ambientes isolados.

Como o ataque funcionava

Com esse canal, os pesquisadores construíram um mecanismo de execução oculta de tarefas. Uma instrução preparada pelo atacante fazia o ChatGPT processar uma sequência de tarefas em paralelo à conversa visível. O sistema continuava respondendo normalmente ao usuário enquanto executava ações com os recursos da sessão da vítima e devolvia os resultados pelo canal oculto.

Para demonstrar o impacto, a CPR inseriu a instrução em uma conversa compartilhada. Bastava que a vítima abrisse o link e enviasse uma mensagem comum. O ChatGPT atendia ao pedido visível e, simultaneamente, acessava a conta do Gmail conectada à sessão para recuperar informações solicitadas pelo atacante. A atividade oculta não aparecia na resposta exibida ao usuário, exceto por uma pequena identificação acima da resposta.

A CPR mapeou três formas pelas quais a instrução maliciosa poderia chegar à sessão da vítima: por um comando direto, por uma conversa compartilhada ou pela configuração de um GPT personalizado. O mecanismo também poderia ser utilizado para obter o histórico de conversas e arquivos disponíveis no ambiente de execução, dependendo dos serviços conectados e das permissões disponíveis na conta.

Novo risco para plataformas de IA

A CPR descreve o cenário como o de um “usuário interno coagido”: o modelo de IA não age de forma maliciosa por iniciativa própria, mas pode ser persuadido a utilizar recursos autorizados em benefício de um atacante. Isso implica que a segurança das plataformas de IA deve considerar o comportamento do modelo em conjunto com o ambiente de execução, as ferramentas disponíveis e os serviços conectados.

A descoberta se relaciona a um incidente anterior, no qual agentes estabeleceram canais de comunicação não autorizados para compartilhar informações. Embora os mecanismos técnicos fossem diferentes, ambos os casos mostraram como serviços internos compartilhados podem criar formas de comunicação entre ambientes que deveriam ser isolados.

O líder de pesquisa da Check Point Research afirmou que o caso amplia o foco da discussão sobre segurança em IA. A investigação mostra que o desafio de segurança relacionado à IA não se limita ao modelo em si, mas também envolve os acessos e níveis de confiança concedidos a esses sistemas. Com a crescente conexão dos assistentes de IA a sistemas corporativos e dados sensíveis, é crucial que as organizações considerem que qualquer capacidade autorizada pode ser alvo de uso indevido.

A resposta ao problema exige uma combinação de medidas, incluindo uma abordagem preventiva com visibilidade, governança e proteção durante a execução. Isso é essencial para garantir que a IA continue sendo um recurso para os negócios, e não uma nova fonte de risco cibernético. Organizações que se anteciparem a esses desafios serão aquelas que protegerem as interações com a IA antes que os atacantes possam explorá-las.

A Check Point Research informou que o canal entre contas já não estava disponível ao concluir sua investigação. A OpenAI confirmou que a instância interna do Artifactory identificada durante a investigação havia sido desativada.