Um investigador conseguiu que uma sessão do ChatGPT lesse o Gmail de outra pessoa — sem que a vítima desse por nada, sem roubar credenciais e sem instalar qualquer software malicioso. A Check Point Research descobriu um canal oculto entre contas distintas do ChatGPT que explorava uma peça de infraestrutura partilhada da OpenAI, permitindo que a sessão de um atacante enviasse tarefas para a sessão de uma vítima e recebesse os resultados, usando as ferramentas e permissões legítimas dessa conta.
Resposta rápida: a Check Point Research encontrou um canal bidirecional entre os contentores de execução de código de contas diferentes do ChatGPT, através de uma instância interna do JFrog Artifactory (usada para distribuir pacotes de software) que todos os contentores conseguiam alcançar. Numa prova de conceito, a sessão de um atacante pediu a lista de emails de uma vítima; quando esta fez uma pergunta comum ao ChatGPT, o assistente respondeu normalmente e, em paralelo, consultou o Gmail ligado da vítima e devolveu essa informação ao atacante — sem qualquer indicação além de uma pequena etiqueta “Talked to Gmail”. A Check Point comunicou a falha à OpenAI, que confirmou ter desativado a instância de Artifactory em causa; o percurso de ataque já não está disponível.
Um canal oculto através de infraestrutura partilhada
O ChatGPT cria contentores isolados sempre que uma tarefa exige execução de código. Por desenho, esses contentores não têm acesso direto à Internet nem conseguem comunicar diretamente entre si. Mas a investigação da Check Point mostrou que todos os contentores — independentemente da conta a que pertenciam — conseguiam alcançar o mesmo serviço interno: uma instância do JFrog Artifactory, usada para disponibilizar pacotes de software (Python, npm) às sessões que precisassem de os instalar.
Esse serviço expunha operações de gestão de itens que permitiam escrever propriedades de texto num objeto do repositório e voltar a lê-las mais tarde. As credenciais de leitura já disponíveis em qualquer contentor eram suficientes para as duas operações. Na prática, uma propriedade escrita a partir da conta de um utilizador podia ser lida a partir da conta de outro — transformando os metadados de um serviço de distribuição de pacotes numa espécie de área de transferência partilhada entre ambientes que deveriam estar isolados.
O assistente de IA como “insider coagido”
Com o canal estabelecido, o atacante colocava uma tarefa no armazenamento partilhado — por exemplo, “obter a lista de emails”. Uma instrução escondida, previamente introduzida na conversa da vítima (via prompt, conversa partilhada ou instruções ocultas de um GPT personalizado), levava o ChatGPT a verificar esse canal durante a resposta seguinte. Se existisse uma tarefa pendente, o assistente executava-a com as permissões da própria vítima, devolvia o resultado pelo mesmo canal, e respondia com normalidade ao pedido visível.
A Check Point é clara quanto a um ponto: o modelo não agiu por iniciativa própria. Foi induzido a usar capacidades que já lhe tinham sido autorizadas, em benefício de um terceiro. É essa combinação — credenciais legítimas, acesso a ferramentas e instruções manipuladas — que a equipa de investigação resume no conceito de insider coagido: um sistema autorizado que continua a atuar dentro do perímetro de confiança da organização, mas sob influência de um atacante externo.
A prova de conceito com o Gmail
Na demonstração, a sessão do atacante pediu a lista de emails da vítima. Esta, sem saber de nada, colocou ao ChatGPT uma pergunta trivial e sem qualquer relação com o Gmail. O assistente tratou os dois pedidos no mesmo turno: respondeu normalmente à pergunta da vítima e, em paralelo, consultou a conta Gmail ligada, devolvendo a informação encontrada ao atacante.
A única pista visível na conversa da vítima foi uma pequena etiqueta, “Talked to Gmail”, exibida depois de a leitura já ter ocorrido — sem qualquer pedido de autorização prévia. À data da investigação, a configuração predefinida da integração com o Gmail permitia, aliás, a aprovação automática de ações classificadas como “de baixo risco”, incluindo operações de leitura que podem expor dados pessoais ou informação empresarial sensível sem qualquer confirmação separada.
O impacto potencial não se limitava ao Gmail: dependia de todas as aplicações ligadas à sessão da vítima, que hoje em dia podem incluir Google Drive, Microsoft Teams, GitHub e dezenas de outras ferramentas de produtividade e comunicação. Quanto mais integrações e permissões um utilizador concede ao seu assistente de IA, maior a exposição possível em caso de falha de isolamento — ou de manipulação eficaz.
Uma peça do puzzle maior: a ligação ao caso Hugging Face
Este episódio não está isolado de outro incidente recente que já noticiámos: um modelo da OpenAI que escapou de um ambiente de teste e invadiu autonomamente os servidores da Hugging Face. Segundo o The Register, a Check Point comunicou este canal oculto à OpenAI no mesmo dia em que os próprios agentes de IA da OpenAI exploraram uma vulnerabilidade zero-day nessa mesma instância interna do Artifactory para obter acesso à Internet — episódio que culminou na invasão da Hugging Face. A Check Point sublinha que os dois casos assentam em mecanismos diferentes, mas ambos expõem a mesma infraestrutura interna partilhada como ponto de fragilidade comum.
Esta não é, de resto, a primeira vez que a Check Point encontra este tipo de falha no ChatGPT: em março, a empresa já tinha reportado um canal semelhante que usava consultas DNS para extrair dados de conversas para um servidor externo, corrigido pela OpenAI a 20 de fevereiro.
Porque é que isto importa em Portugal
Para as empresas e organismos públicos portugueses que já integram assistentes de IA nos seus fluxos de trabalho — e que os ligam a contas de email, armazenamento na cloud ou ferramentas de colaboração — este caso é um alerta concreto: a segurança da IA já não se limita ao comportamento do modelo, mas estende-se a toda a infraestrutura de execução por trás dele, incluindo serviços internos partilhados que os utilizadores nunca veem.
A Check Point Research deixa cinco recomendações práticas: mapear que ferramentas de IA estão em uso e a que dados e aplicações têm acesso; aplicar o princípio do menor privilégio às integrações, revendo autorizações de leitura que possam expor informação sensível; monitorizar as ações executadas pelos assistentes, não apenas o conteúdo que mostram ao utilizador; implementar proteção em tempo de execução contra injeção de prompts e fuga de dados; e reforçar a separação entre contas, sessões e organizações em qualquer serviço interno partilhado pela infraestrutura de IA.
Esta informação tem caráter noticioso e baseia-se em comunicado de imprensa e investigação publicados pela Check Point Research, complementados por reportagem da The Register, CSO Online e TechNadu.