Uma falha no ChatGPT descoberta pela Check Point Research revelou um cenário particularmente preocupante: instruções maliciosas poderiam transformar uma sessão aparentemente normal em um mecanismo silencioso de extração de dados de serviços conectados, incluindo o Gmail. O ataque demonstrado não dependia do roubo da senha da vítima nem exigia acesso direto ao computador.
A pesquisa, publicada em 8 de setembro de 2026, mostrou que um atacante poderia inserir instruções ocultas em uma conversa compartilhada ou em um GPT personalizado. Quando a vítima interagia normalmente com aquela conversa, o ChatGPT poderia processar uma segunda tarefa em paralelo, usando as permissões já concedidas pelo usuário aos aplicativos conectados.
O caso chama atenção porque combina injeção de prompt, acesso a aplicativos externos e uma falha de isolamento entre ambientes de execução. Neste artigo, vamos explicar como a vulnerabilidade funcionava, por que o Gmail era especialmente relevante, como o JFrog Artifactory acabou funcionando como um canal oculto entre contas e quais configurações podem reduzir esse tipo de risco.
Como funcionava a falha no ChatGPT
O ataque começava com uma técnica conhecida como prompt injection, na qual instruções especialmente preparadas eram inseridas no contexto que o modelo deveria processar.
Segundo a Check Point, o conteúdo malicioso poderia ser introduzido por diferentes caminhos, incluindo conversas compartilhadas, GPTs personalizados ou instruções inseridas no contexto da vítima. A ideia não era necessariamente fazer o usuário executar um comando visível, mas convencer o modelo a realizar uma tarefa adicional que permanecesse fora do fluxo principal apresentado na interface.
O resultado era uma espécie de dupla execução. Enquanto o ChatGPT produzia uma resposta aparentemente normal para a pergunta feita pelo usuário, uma tarefa adicional poderia ser processada usando os recursos disponíveis naquela sessão.
No cenário demonstrado pela pesquisa, a tarefa escondida podia acessar dados do Gmail conectado à conta da vítima e encaminhá-los para uma conta controlada pelo atacante.
Isso muda significativamente a natureza do problema. Em vez de um invasor precisar obter diretamente as credenciais do Gmail, o ataque procurava fazer o próprio ChatGPT agir usando uma autorização legítima que já existia.
O papel das permissões padrão e do Gmail
Um componente importante da exploração estava relacionado às permissões dos aplicativos conectados.
A documentação atual da OpenAI informa que o ChatGPT pode trabalhar com aplicativos conectados e que as permissões determinam quando uma confirmação é necessária. Dependendo da configuração, o sistema pode permitir automaticamente determinadas operações de leitura, enquanto solicita autorização para ações consideradas mais sensíveis.
A configuração Ações importantes, por exemplo, permite leituras automáticas e exige confirmação para ações consideradas importantes. A opção Sempre perguntar é mais restritiva e faz o ChatGPT solicitar autorização antes de ler informações ou executar ações em um aplicativo conectado.
Essa diferença é fundamental para entender o ataque.
Se uma tarefa maliciosa conseguia convencer o modelo a consultar uma caixa de entrada, uma permissão que permitisse leitura automática reduzia uma das barreiras que poderiam alertar o usuário.
A Check Point demonstrou justamente esse problema no contexto do Gmail. O atacante não precisava convencer a vítima a clicar em um botão de autorização para cada mensagem. A sessão já possuía capacidade legítima de consultar os dados disponíveis ao aplicativo conectado.
Isso não significa que qualquer conta do Gmail pudesse ser acessada indiscriminadamente pelo ChatGPT. O acesso dependia de o usuário ter conectado e autorizado o serviço. A própria OpenAI esclarece que aplicativos conectados somente podem acessar os dados permitidos durante a conexão e pelas políticas aplicáveis à conta ou ao workspace.
Injeção de prompt e execução dupla no modo Thinking
O aspecto mais sofisticado da vulnerabilidade no ChatGPT estava na possibilidade de separar o que o usuário enxergava do que o modelo fazia internamente.
A pesquisa descreve uma situação em que uma única mensagem legítima poderia desencadear dois fluxos: um encarregado de responder ao usuário e outro responsável por executar a instrução implantada pelo atacante.
Na prática, o usuário poderia fazer uma pergunta completamente inocente e receber uma resposta coerente, enquanto o contexto malicioso orientava uma segunda atividade.
Essa característica torna ataques contra sistemas baseados em agentes particularmente difíceis de identificar. Em aplicações tradicionais, uma operação suspeita costuma produzir uma solicitação de rede, um processo ou uma ação que pode ser monitorada de maneira relativamente direta.
Em sistemas de IA agentiva, entretanto, a própria linguagem funciona como mecanismo de controle. Uma instrução aparentemente inofensiva pode alterar o comportamento do agente e levá-lo a utilizar ferramentas às quais possui acesso legítimo.
O risco aumenta quando o modelo consegue consultar e-mail, armazenamento em nuvem, calendários, documentos ou outros serviços corporativos.
A falha no ChatGPT e o isolamento dos contêineres
O segundo componente da exploração estava no ambiente usado pelo ChatGPT para executar código.
Segundo a Check Point, os contêineres criados para diferentes conversas eram projetados para permanecer isolados. Eles não deveriam conseguir acessar diretamente a Internet pública nem estabelecer comunicação direta entre ambientes associados a contas diferentes.
Porém, havia uma exceção arquitetural importante.
Para permitir que os ambientes instalassem pacotes Python, npm e outras dependências necessárias para determinadas tarefas, os contêineres podiam acessar um serviço interno baseado no JFrog Artifactory.
A intenção era legítima: oferecer um intermediário controlado para disponibilizar pacotes sem conceder aos contêineres acesso direto aos repositórios públicos.
O problema surgiu porque esse serviço compartilhado possuía mecanismos de armazenamento de propriedades associados aos arquivos.
O JFrog Artifactory virou um canal oculto
A investigação descobriu que as APIs de gerenciamento do Artifactory permitiam gravar e consultar propriedades associadas a itens armazenados.
Mais importante: as credenciais disponibilizadas aos contêineres tinham permissões suficientes para realizar essas operações. Essas credenciais também estavam disponíveis em variáveis de ambiente dentro do ambiente de execução.
A Check Point realizou então um teste simples.
Em um contêiner associado a uma conta, os pesquisadores adicionaram uma propriedade chamada chatgpt_test_ts a um arquivo armazenado em cache. Depois, a partir de outra conversa pertencente a uma conta diferente, solicitaram as propriedades daquele mesmo arquivo.
O segundo ambiente conseguiu recuperar exatamente o valor gravado pelo primeiro.
Esse comportamento transformou o serviço em uma espécie de “área de transferência compartilhada” entre contêineres que deveriam estar isolados.
O mecanismo também não estava limitado a pequenos textos.
As propriedades poderiam transportar texto ou dados codificados em Base64. Informações maiores poderiam ser divididas em vários fragmentos, armazenadas em propriedades diferentes e reconstruídas posteriormente pelo ambiente receptor.
Isso criou o elemento que faltava para completar a cadeia de ataque.
Um ChatGPT sob controle de um atacante poderia colocar instruções ou receber resultados através do serviço interno, enquanto uma sessão da vítima executaria a tarefa utilizando seus próprios recursos autorizados.
Assim, o Artifactory não precisava funcionar como um servidor tradicional de comando e controle. Bastava atuar como meio de troca de informações entre ambientes aparentemente separados.
Como os dados do Gmail poderiam sair da conta
Com o canal disponível, o ataque poderia seguir uma sequência conceitual:
- O atacante prepara uma instrução maliciosa.
- A instrução é inserida em uma conversa, GPT personalizado ou outro contexto que chegue à vítima.
- A vítima envia uma mensagem normal ao ChatGPT.
- O modelo processa a solicitação legítima e a instrução escondida.
- A sessão da vítima utiliza as permissões disponíveis para consultar o Gmail conectado.
- Os dados obtidos são preparados para transmissão.
- O conteúdo é gravado no mecanismo compartilhado do Artifactory.
- A sessão controlada pelo atacante recupera as informações.
O ponto crítico é que o atacante poderia utilizar capacidades legítimas da sessão da vítima em vez de depender exclusivamente de uma invasão convencional.
A pesquisa da Check Point apresentou uma prova de conceito na qual informações do Gmail da vítima eram recuperadas e retransmitidas para outra conta do ChatGPT.
O mesmo princípio é preocupante para outros tipos de informação acessíveis por uma sessão de IA. Documentos, mensagens, arquivos e informações presentes no contexto de uma conversa podem se tornar alvos quando o agente possui autorização para consultá-los.
Por isso, a segurança do ChatGPT não pode ser analisada somente pela perspectiva da conta do usuário. É necessário considerar toda a cadeia: modelo, prompts, ferramentas, credenciais, aplicativos conectados, ambientes de execução e serviços internos.
O que a OpenAI fez e como proteger sua conta
A descoberta foi comunicada à OpenAI pela Check Point. De acordo com os pesquisadores, a empresa confirmou que o Artifactory interno que possibilitava o canal foi desativado. Ao final da investigação, o canal entre as contas já não estava disponível.
O episódio também não surgiu isoladamente. A Check Point já havia documentado anteriormente outro mecanismo de comunicação usado para retirar dados de ambientes de execução do ChatGPT. Segundo a pesquisa, o novo caso utilizava uma técnica diferente, mas apresentava o mesmo problema estrutural: um serviço interno compartilhado podia transformar-se em uma camada de comunicação inesperada entre ambientes isolados.
A recomendação mais importante para usuários que mantêm aplicativos conectados ao ChatGPT é revisar cuidadosamente as permissões.
Na configuração atual, a OpenAI oferece a opção Sempre perguntar, que exige autorização antes de o ChatGPT ler informações ou realizar ações em um aplicativo conectado.
Para revisar essa configuração, o usuário pode acessar Configurações > Aplicativos e procurar as preferências de permissão dos aplicativos conectados. A OpenAI também permite configurar permissões específicas para determinados aplicativos, quando essa opção estiver disponível.
Para quem não precisa consultar Gmail, Drive ou outros serviços diretamente pelo ChatGPT, existe uma medida ainda mais simples: desconectar o aplicativo. A mudança de permissão não remove o acesso concedido durante a conexão; para revogar efetivamente o acesso, é necessário desconectar o aplicativo ou utilizar os controles administrativos correspondentes.
Administradores de ambientes corporativos devem ir além. É importante revisar quais aplicativos estão habilitados, quais escopos OAuth foram autorizados e quais ações cada aplicativo pode executar. A OpenAI disponibiliza controles específicos para workspaces gerenciados, permitindo restringir as ações disponíveis para aplicativos conectados.
A principal lição dessa falha no ChatGPT é que o isolamento de um ambiente de execução não depende apenas de bloquear conexões diretas. Serviços internos compartilhados, metadados, caches, credenciais e APIs de gerenciamento também fazem parte da superfície de ataque.
À medida que agentes de IA passam a operar com acesso a e-mails, documentos e sistemas corporativos, uma simples instrução deixa de ser apenas texto. Ela pode se transformar em uma ordem executada por uma máquina com permissões reais.
O caso investigado pela Check Point mostra exatamente por que a segurança de sistemas de IA precisa combinar isolamento forte, princípio do menor privilégio, controle de ferramentas, aprovação explícita e segmentação rigorosa de dados entre usuários.
Para usuários comuns, a recomendação é simples: revise os aplicativos conectados ao ChatGPT e considere mudar a permissão para “Sempre perguntar”, principalmente quando a conta possui informações sensíveis no Gmail ou em outros serviços integrados. Para empresas, a revisão deve incluir também as políticas de OAuth e os controles de aplicativos no ambiente corporativo.