Uma falha na versão web do ChatGPT permitia que um link aparentemente comum desse acesso a conversas privadas, arquivos enviados e dados da conta. A empresa de segurança Parameter, que descobriu o problema, afirmou que o ataque podia ser executado em cerca de 4,5 segundos. Para funcionar, porém, a vítima precisava estar conectada ao ChatGPT enquanto navegava.
O link podia chegar por e-mail, redes sociais ou mensagem privada e parecer uma conversa pública do ChatGPT. Ao abri-lo, um código malicioso era executado dentro do domínio chatgpt.com. Isso dava ao código as mesmas permissões da página aberta: ele poderia consultar o histórico, ler mensagens antigas, acessar documentos anexados e alterar configurações da conta sem avisos visíveis.
Segundo a Parameter, o ataque não exigia baixar arquivos, digitar comandos nem autorizar aplicativos. A falha permitia que dados fossem enviados a um servidor fora do ChatGPT. Isso descreve o que os pesquisadores conseguiram fazer em testes, não uma confirmação de que conversas de usuários foram roubadas.
Como o link contornava as proteções
A brecha envolvia a MathLive, uma biblioteca de código aberto usada para exibir gráficos matemáticos interativos e teclados virtuais no ChatGPT. O recurso de prévia de HTML aceitava mensagens sem conferir de onde vinham nem filtrar os blocos de código recebidos.
A OpenAI já bloqueava códigos de terceiros, mas permitia exceções para serviços parceiros considerados confiáveis, como o YouTube. Os pesquisadores usaram uma resposta do YouTube como intermediária para executar o código e enviar trechos das conversas para fora da plataforma. A combinação entre essa exceção e a falta de verificação na prévia permitia que o conteúdo malicioso rodasse com as permissões do site.
A falha foi corrigida
A OpenAI recebeu o alerta em 18 de outubro e reproduziu o ataque em um ambiente controlado. Depois, elevou a prioridade do incidente de P2 para P1, seu nível máximo, e aplicou correções nos servidores entre 22 e 26 de outubro. Os pesquisadores receberam uma recompensa de US$ 5 mil.
A equipe da MathLive também lançou uma atualização que verifica por padrão a origem das mensagens e bloqueia comandos enviados por telas externas. A Parameter disse não ter encontrado indícios de exploração contra usuários comuns; os testes foram feitos entre contas controladas pelos próprios pesquisadores. Como a correção foi feita nos servidores do ChatGPT, os usuários não precisam trocar senhas nem mudar as configurações das contas.
Por que importa
Para quem usa o ChatGPT na web, a falha mostra que até um link com aparência legítima poderia expor conversas se aberto enquanto a pessoa estivesse conectada. A OpenAI corrigiu o problema nos servidores e diz que não é necessário trocar a senha; os pesquisadores não encontraram indícios de ataques a usuários comuns.
