Uma conversa pública do ChatGPT poderia ser transformada em um link capaz de expor a conta privada de quem o abrisse, afirmam pesquisadores de segurança da Parameter Labs. Eles encontraram uma forma de fazer um compartilhamento malicioso executar JavaScript dentro da sessão autenticada do usuário no ChatGPT, com acesso a conversas privadas e possibilidade de realizar ações pela conta da vítima.
O ataque dependia de dois recursos que não deveriam funcionar em conjunto: um gráfico interativo e o HTML Preview do ChatGPT, que exibe código como uma pequena página da web. Segundo a Parameter Labs, a combinação permitiu contornar a barreira do navegador que deveria manter o código não confiável da pré-visualização separado da página principal do ChatGPT.
Como o ataque funcionava?
Os pesquisadores identificaram a origem da falha na MathLive, uma biblioteca usada pelo ChatGPT para oferecer suporte a gráficos. A MathLive adicionava à página principal um listener de mensagens para controlar um teclado na tela. Uma pré-visualização podia enviar mensagens a esse listener, que não verificava se elas vinham de uma fonte confiável. Em seguida, o listener inseria o HTML recebido na página principal.
Isso, por si só, não fazia as tags de script serem executadas. Mas a Parameter Labs encontrou uma forma de levar a página a criar um novo frame sem sandbox. Como esse frame era criado pela página principal do ChatGPT, podia operar com a identidade do site e usar a sessão autenticada da vítima. Os pesquisadores dizem que usaram esse acesso para listar conversas, recuperar uma conversa privada que nunca havia sido compartilhada com eles e enviar o conteúdo para um servidor externo.
Segundo a Parameter Labs, o ataque podia ser distribuído por meio de um compartilhamento público comum, sem pedir que a vítima instalasse um aplicativo ou entrasse em um workspace. Em uma reprodução, bastava abrir o link; em uma versão anterior, a vítima precisava clicar uma vez no botão Preview do ChatGPT.
O que a OpenAI fez?
A OpenAI corrigiu o problema em 26 de outubro de 2026 e classificou o relato como P1, segundo a Parameter Labs. Simon Willison, que escreveu sobre a pesquisa, afirma que a OpenAI pagou uma recompensa de US$ 5.000 por bug. Os relatos publicados descrevem a correção, mas não dizem se os pesquisadores ou a OpenAI encontraram indícios de que alguém tenha usado a falha contra usuários reais.
O caso mostra por que uma pré-visualização pode ser arriscada mesmo quando é executada em um frame restrito: a segurança também depende de como a página ao redor lida com mensagens e conteúdo incorporado. O ataque da Parameter Labs combinou esses elementos em um link compartilhável, sem exigir que a vítima executasse código por conta própria.
Por que importa
Para quem usa o ChatGPT, a falha significava que abrir uma conversa compartilhada maliciosa poderia expor chats privados sem que fosse necessário instalar nada. A OpenAI afirma que o problema foi corrigido em 26 de outubro; os relatos não comprovam se invasores exploraram a falha antes disso.
