A Check Point Research informou, em um relatório publicado hoje, que uma única instrução inserida em uma conversa com o ChatGPT poderia fazer com que o sistema trabalhasse discretamente para um atacante enquanto respondia normalmente à pergunta do usuário.
Na prova de conceito da empresa, esse trabalho oculto lia dados da conta conectada do Gmail do usuário e os repassava para uma segunda conta do ChatGPT por meio de um canal escondido entre as duas. A resposta exibida ao usuário não mencionava nada disso.
A Check Point disse que o mesmo canal também poderia copiar o histórico de conversas e os arquivos daquela interação.
O volume de dados que um atacante conseguiria obter dependeria do que a sessão já tivesse acesso, incluindo seus dados, ferramentas, outros aplicativos conectados e permissões.
A instrução precisava estar presente na conversa antes que qualquer uma dessas ações funcionasse. A Check Point apontou três formas de fazer isso acontecer: uma instrução que o usuário cola, uma conversa compartilhada do ChatGPT que o usuário abre ou um GPT personalizado que contenha essa instrução nas orientações do construtor, que não são exibidas ao usuário.
Depois disso, uma mensagem comum era suficiente para disparar o processo. A Check Point escreveu a instrução de modo que, no modo de raciocínio, o ChatGPT executasse dois fluxos de trabalho na mesma rodada.
O ChatGPT respondia ao usuário. Ao mesmo tempo, verificava uma caixa de correio oculta em busca de uma tarefa do atacante, executava essa tarefa usando as ferramentas da sessão do usuário e enviava o resultado de volta. A instrução orientava o modelo a manter os dois fluxos separados, de modo que a tarefa oculta nunca aparecia na resposta visível.
O único sinal de que um aplicativo havia sido usado era uma pequena etiqueta “Falou com o Gmail” acima da resposta. Ela registrava uma leitura que já tinha ocorrido e não dava ao usuário a chance de autorizar ou recusar a ação.
Nada era perguntado antes ao usuário por causa da forma como os aplicativos conectados funcionam por padrão. A documentação da OpenAI lista Ações importantes como permissão padrão, o que permite ao ChatGPT ler dados de um aplicativo sem exibir um aviso. O ChatGPT só pede confirmação antes de ações que possam ter efeito real fora do sistema, expor informações sensíveis ou ser difíceis de desfazer.
Quem quiser ser consultado a cada vez pode mudar a configuração para Sempre perguntar. Em ambientes Business, Enterprise e Edu, os administradores definem quais ações cada aplicativo pode executar e quem pode usá-los. Os aplicativos vêm ativados por padrão nos planos Business e desativados por padrão nos planos Enterprise e Edu.
A Check Point disse que comunicou a descoberta à OpenAI e que a empresa confirmou que o serviço interno por trás do canal foi desativado. Não há atualização para o usuário instalar.
O canal funcionava entre os contêineres onde o ChatGPT executa código. O sistema cria um contêiner para cada conversa quando uma tarefa exige esse recurso.
A documentação da OpenAI afirma que o ambiente Python usado pelo ChatGPT para análise de dados não pode fazer requisições à web nem a APIs externas. A Check Point disse que os contêineres criados para conversas separadas, inclusive em contas diferentes, também não tinham caminho direto entre si.
Todos eles conseguiam acessar um serviço interno. Às vezes, o ChatGPT precisa instalar pacotes extras de Python ou npm. Em vez de permitir que os contêineres acessassem repositórios públicos de pacotes, cada um podia falar com uma instância interna do JFrog Artifactory, que buscava os pacotes em seu nome.
Essa instância permitia que um contêiner anexasse valores nomeados, chamados propriedades, a um arquivo armazenado e os lesse depois. As credenciais que o contêiner tinha para acesso de leitura também bastavam para gravar essas propriedades. Elas ficavam em variáveis de ambiente, de onde o código executado pelo ChatGPT podia recuperá-las. O código não precisava roubar um segredo separado nem elevar privilégios.
As propriedades não eram separadas por conta. Em um contêiner de uma conta, a Check Point anexou a um arquivo em cache uma propriedade chamada chatgpt_test_ts, contendo a hora atual. Em uma conversa de outra conta, pediu as propriedades desse arquivo e recebeu o mesmo nome e valor.
Uma propriedade pode transportar texto simples ou Base64, e qualquer conteúdo grande demais para caber em um único bloco pode ser dividido em vários e remontado no destino. Isso transformou os metadados do serviço de pacotes em uma espécie de área de transferência compartilhada entre contêineres que não deveriam se comunicar.
Esse é o segundo canal identificado pela Check Point na mesma área do ChatGPT. Em março, a empresa descreveu outro mecanismo que usava consultas DNS para enviar dados de conversas a um servidor externo e afirmou que a OpenAI corrigiu o problema em 20 de fevereiro.
O caso é अलगrado do incidente com a Hugging Face, no qual os próprios modelos da OpenAI transformaram uma instância interna do Artifactory em um quadro de mensagens durante testes de segurança da empresa.
A Check Point afirmou que o mecanismo encontrado era diferente e descreveu os dois casos como situações em que “um serviço interno compartilhado se tornou uma camada de comunicação não intencional” entre ambientes que deveriam permanecer isolados.
A Check Point datou seu trabalho de junho de 2026 e não informou quando o canal deixou de funcionar, portanto o relatório não mostra por quanto tempo ele permaneceu aberto.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...