A falha no modo de bloqueio do ChatGPT revelou um problema importante na segurança dos assistentes de inteligência artificial: mesmo quando uma plataforma implementa proteções específicas contra vazamento de informações, uma vulnerabilidade em componentes aparentemente secundários pode abrir caminhos para ataques. Pesquisadores da Check Point Research demonstraram como contornar o isolamento de conteúdo HTML utilizado pelo ChatGPT e extrair informações de conversas sem exigir qualquer interação da vítima em determinados cenários.
A descoberta é particularmente preocupante porque o Modo de Bloqueio (Lockdown Mode) foi desenvolvido justamente para reduzir os riscos de exfiltração de dados provocada por ataques de injeção de prompt. A vulnerabilidade permitia contornar essas restrições explorando a maneira como o aplicativo processava pré-visualizações de páginas HTML, criando uma rota alternativa para executar conteúdo fora do ambiente isolado.
A OpenAI corrigiu a vulnerabilidade após a comunicação responsável dos pesquisadores, e a Check Point confirmou que a técnica apresentada deixou de funcionar. Entretanto, o episódio vai além de uma falha pontual no ChatGPT. Ele demonstra como navegadores internos, ambientes baseados em Electron, ferramentas conectadas e agentes autônomos podem ampliar a superfície de ataque de aplicações de inteligência artificial. Para empresas que utilizam esses recursos com documentos confidenciais, conversas internas e informações corporativas, a descoberta reforça a necessidade de tratar a IA como parte da infraestrutura de segurança.
Como pesquisadores burlaram o sandbox e o modo de bloqueio do ChatGPT
A investigação da Check Point identificou uma vulnerabilidade na funcionalidade de pré-visualização de conteúdo HTML do ChatGPT. O recurso permite que usuários visualizem páginas criadas a partir de códigos apresentados em blocos de programação, sem precisar executar o conteúdo em um navegador externo.
Embora seja conveniente para desenvolvedores, essa funcionalidade exige cuidados especiais. Um documento HTML pode conter JavaScript, manipular elementos da página e tentar estabelecer comunicações com outros serviços. Caso esse conteúdo tivesse acesso irrestrito à aplicação principal, poderia comprometer informações privadas armazenadas na sessão do usuário.
Para evitar esse cenário, o ChatGPT utiliza um sandbox, mecanismo de isolamento que restringe as permissões do conteúdo executado na pré-visualização. A intenção é impedir que páginas potencialmente maliciosas acessem diretamente recursos sensíveis, como cookies, armazenamento local e elementos internos da aplicação.
O problema encontrado pelos pesquisadores estava na implementação desse isolamento, especificamente no tratamento de janelas pop-up e na combinação de permissões concedidas aos frames utilizados para renderizar o conteúdo.
O Modo de Bloqueio deveria dificultar ainda mais qualquer tentativa de enviar informações para servidores externos. Entretanto, a vulnerabilidade demonstrou que as restrições aplicadas às conexões de saída poderiam ser contornadas por meio de um caminho alternativo criado dentro da própria estrutura de renderização HTML.
O papel dos frames aninhados e das funções pop-up na quebra do isolamento
Para compreender a vulnerabilidade, é importante entender como funcionam os iframes. Esses elementos permitem incorporar uma página ou outro documento HTML dentro de uma página principal. Aplicações modernas utilizam frames aninhados para separar conteúdos, estabelecer limites de permissões e controlar a comunicação entre diferentes componentes.
Na implementação analisada, a pré-visualização HTML utilizava frames com restrições de segurança. Entretanto, os pesquisadores identificaram que determinadas permissões relacionadas à abertura de janelas continuavam disponíveis, incluindo mecanismos associados a allow-popups e allow-popups-to-escape-sandbox.
O ChatGPT também interceptava tentativas convencionais de abertura de novas janelas por meio da função JavaScript window.open. Quando o conteúdo tentava abrir uma página externa, a aplicação aplicava controles adicionais para impedir uma navegação não autorizada.
A descoberta foi que essa proteção poderia ser contornada por meio de outro frame criado dentro do próprio ambiente isolado.
Em vez de utilizar diretamente a função interceptada pelo ChatGPT, o conteúdo malicioso poderia acessar a implementação original de abertura de janelas por meio do contexto de um frame aninhado. Dessa maneira, uma janela pop-up poderia ser criada utilizando permissões que permitiam escapar das restrições do sandbox original.
O detalhe mais importante é que o conteúdo aberto por esse mecanismo deixava de estar submetido ao mesmo conjunto de limitações aplicado à pré-visualização HTML. Isso criava uma oportunidade para executar código em um contexto menos restritivo e alcançar recursos que deveriam permanecer protegidos.
A pesquisa demonstra uma falha na fronteira de segurança entre componentes da aplicação, não uma quebra direta do mecanismo interno do modelo de linguagem.
Esse tipo de vulnerabilidade é especialmente relevante para desenvolvedores porque demonstra que um sandbox não é mais seguro apenas por existir. Todas as permissões concedidas aos seus componentes, inclusive aquelas utilizadas para comunicação entre frames e abertura de janelas, precisam ser avaliadas em conjunto.
Riscos práticos: phishing embutido, malware e exfiltração zero-click
Depois de contornar o isolamento, um invasor poderia utilizar o ambiente de execução alternativo para desenvolver diferentes estratégias de ataque.
A mais preocupante envolve a exfiltração silenciosa de dados. Uma instrução maliciosa poderia ser introduzida por meio de um prompt preparado, de um GPT personalizado comprometido ou de uma conversa compartilhada. Quando o conteúdo fosse processado pelo ChatGPT, a vulnerabilidade poderia permitir que informações privadas fossem enviadas para uma infraestrutura controlada pelo invasor.
Entre os dados potencialmente expostos estavam mensagens e informações presentes nas conversas do usuário. A demonstração também evidenciou o risco de utilizar a interface confiável do ChatGPT como ponto de partida para campanhas de engenharia social.
O cenário de ataque zero-click merece atenção especial. O termo descreve uma exploração que não depende de um clique ou de uma ação adicional da vítima para executar a etapa principal do ataque. Na demonstração da Check Point, a extração silenciosa de dados era possível no aplicativo desktop do ChatGPT.
Isso não significa que qualquer conversa compartilhada provocaria automaticamente um vazamento. A exploração dependia de conteúdo especialmente preparado e das condições específicas da vulnerabilidade.
Outro risco envolve o phishing incorporado à própria experiência do ChatGPT. Como o invasor poderia controlar o conteúdo apresentado na janela aberta fora do sandbox, seria possível criar páginas falsas visualmente semelhantes a componentes legítimos da plataforma.
Um exemplo seria uma falsa notificação solicitando a instalação de uma atualização. O usuário poderia ser direcionado para um download malicioso acreditando estar interagindo com uma funcionalidade legítima do aplicativo.
A mesma abordagem poderia ser utilizada para apresentar páginas fraudulentas de autenticação e tentar capturar credenciais corporativas.
A Check Point identificou três possíveis caminhos de entrega do conteúdo malicioso:
- Prompts preparados: instruções elaboradas para induzir o ChatGPT a processar conteúdo HTML controlado pelo atacante.
- GPTs personalizados maliciosos: assistentes configurados para incorporar conteúdo ou instruções capazes de acionar o comportamento vulnerável.
- Conversas compartilhadas: chats contendo elementos preparados para atingir pessoas que acessassem o conteúdo.
O aspecto mais importante é que a exploração não dependia necessariamente de uma vulnerabilidade no próprio modelo de linguagem. O problema estava na infraestrutura que processava e apresentava o conteúdo gerado ou recebido pela inteligência artificial.
A fragilidade além do modelo: o ecossistema dos agentes de IA em alerta
A vulnerabilidade identificada pela Check Point reforça uma discussão que vem ganhando importância na indústria de segurança: proteger um modelo de inteligência artificial não significa proteger automaticamente toda a aplicação que utiliza esse modelo.
Assistentes modernos são sistemas compostos por diferentes tecnologias. Além do modelo de linguagem, podem utilizar mecanismos de renderização HTML, navegadores internos, bibliotecas JavaScript, ambientes de execução de código, conectores externos e serviços de armazenamento.
Cada componente representa uma possível superfície de ataque.
No caso do ChatGPT, a vulnerabilidade estava justamente em uma dessas camadas auxiliares. O modelo não precisava apresentar uma falha de raciocínio ou ignorar diretamente suas instruções de segurança. Bastava que o conteúdo processado alcançasse um componente com permissões inadequadas para comprometer as proteções existentes.
Esse cenário também merece atenção em aplicações desenvolvidas com Electron, framework que permite criar programas desktop utilizando tecnologias web. Como o aplicativo desktop do ChatGPT utiliza essa arquitetura, o comportamento das janelas, dos processos de renderização e dos componentes incorporados influencia diretamente sua segurança.
O problema não é exclusivo do Electron. Navegadores internos, WebViews e aplicações que incorporam conteúdo HTML também precisam estabelecer limites rigorosos entre o conteúdo não confiável e os dados da sessão principal.
Injeção indireta de prompt amplia a superfície de ataque
Outro ponto importante é a relação entre a vulnerabilidade e a injeção indireta de prompt.
Diferentemente de uma instrução maliciosa digitada diretamente pelo usuário, esse tipo de ataque utiliza informações externas para influenciar o comportamento de um sistema de IA. O conteúdo pode estar escondido em páginas da internet, documentos, arquivos PDF, mensagens de e-mail ou repositórios de código.
Quando um agente processa essas informações, pode interpretar instruções inseridas pelo atacante como parte das orientações que deve executar.
O risco aumenta quando o assistente possui acesso a ferramentas capazes de consultar arquivos, enviar mensagens, executar comandos ou interagir com serviços corporativos.
Imagine um agente conectado ao ambiente de desenvolvimento de uma empresa. Durante uma tarefa aparentemente legítima, ele recebe um arquivo contendo instruções ocultas que solicitam a leitura de determinadas variáveis de ambiente e o envio de informações para um endereço externo.
Se o sistema não separar corretamente instruções confiáveis de conteúdo não confiável, o agente poderá tentar executar ações prejudiciais.
A situação fica ainda mais delicada quando existem permissões excessivas. Um agente com acesso administrativo, por exemplo, pode causar consequências muito maiores do que um assistente limitado à leitura de documentos.
Ferramentas de desenvolvimento e fluxos de CI/CD também exigem proteção
A discussão não deve ficar restrita aos aplicativos de conversação. Ambientes de desenvolvimento, pipelines de integração contínua e entrega contínua (CI/CD) estão incorporando ferramentas de inteligência artificial capazes de analisar código, sugerir alterações e executar tarefas automaticamente.
Essas integrações podem ter acesso a:
- Tokens de autenticação: credenciais utilizadas para acessar repositórios e serviços corporativos.
- Variáveis de ambiente: informações de configuração que podem conter segredos e dados de infraestrutura.
- Repositórios privados: código-fonte, documentação e informações sobre projetos ainda não publicados.
- Ferramentas de implantação: mecanismos capazes de publicar aplicações e modificar ambientes de produção.
- Serviços externos: APIs, plataformas de hospedagem, bancos de dados e sistemas de monitoramento.
Uma vulnerabilidade em qualquer componente desse ecossistema pode transformar um assistente útil em um ponto de entrada para ataques mais abrangentes.
A pesquisa da Parameter Labs, divulgada em novembro de 2026, também merece atenção nesse contexto. Os pesquisadores apresentaram outra cadeia de exploração envolvendo o HTML Preview do ChatGPT, desta vez combinando a biblioteca JavaScript MathLive, mensagens postMessage(), manipulação de innerHTML e uma possibilidade de contornar restrições da Content Security Policy (CSP) por meio de um recurso do YouTube.
Essa investigação descreve uma cadeia técnica distinta daquela apresentada pela Check Point. Portanto, não se trata de uma única vulnerabilidade com mecanismos idênticos, mas de descobertas diferentes que apontam para o mesmo problema estrutural: componentes auxiliares, permissões de comunicação e políticas de segurança precisam funcionar corretamente em conjunto.
Para administradores de sistemas e profissionais de DevOps, a principal lição é evitar que ferramentas de IA recebam privilégios superiores aos estritamente necessários. O princípio do menor privilégio deve ser aplicado também aos agentes inteligentes, incluindo limites de acesso a arquivos, credenciais, redes e ambientes de produção.
Segurança em inteligência artificial exige proteção em múltiplas camadas
A OpenAI informou à Check Point em 18 de setembro de 2026 que havia implementado uma correção para a vulnerabilidade. A medida removeu as permissões do sandbox que possibilitavam a abertura de janelas pop-up fora do isolamento original.
Após a implementação, os pesquisadores realizaram novos testes e confirmaram que a técnica utilizada na demonstração não funcionava mais.
A correção é importante porque elimina o caminho de exploração identificado, mas não significa que todos os riscos associados à injeção de prompt ou aos agentes de IA tenham desaparecido.
O próprio Modo de Bloqueio foi concebido como uma camada adicional de proteção, não como uma garantia absoluta contra qualquer forma de vazamento. A documentação da OpenAI reconhece que combinações inesperadas de funcionalidades, aplicativos conectados e novas técnicas de exploração podem continuar representando riscos.
Entre as funcionalidades restringidas pelo recurso estão:
- Navegação em tempo real: o acesso à web fica limitado a conteúdos armazenados em cache.
- Modo agente: a funcionalidade é desativada.
- Deep Research: a pesquisa aprofundada fica indisponível.
- Conectores externos: determinadas integrações e ações são limitadas conforme as permissões e políticas aplicáveis.
- Rede do Canvas: o código gerado não pode receber autorização para acessar a rede.
- Downloads de arquivos: o ChatGPT não pode baixar arquivos para análise de dados, embora continue aceitando arquivos enviados manualmente.
Para empresas, a recomendação é complementar essas proteções com controles próprios de infraestrutura.
Desenvolvedores devem revisar a implementação de sandboxes, validar mensagens entre frames, restringir permissões de pop-ups e adotar políticas CSP com origens estritamente necessárias. Também é importante evitar o uso de innerHTML com conteúdo não confiável e validar rigorosamente qualquer comunicação baseada em postMessage().
Administradores de sistemas devem estabelecer políticas claras sobre quais informações podem ser compartilhadas com assistentes de IA. Documentos confidenciais, credenciais, chaves de API e informações de clientes precisam receber tratamento específico.
Já as equipes de segurança devem monitorar integrações, revisar permissões de conectores e manter registros de atividades relevantes. Em ambientes corporativos, também é recomendável separar contas utilizadas para experimentação daquelas que possuem acesso a sistemas críticos.
Outro cuidado importante envolve os GPTs personalizados e ferramentas de terceiros. Antes de permitir que funcionários utilizem assistentes conectados a dados internos, as organizações devem avaliar a origem, as permissões e os possíveis efeitos das ações executadas por essas ferramentas.
O incidente também deixa uma mensagem importante para quem desenvolve aplicações baseadas em inteligência artificial: a segurança precisa acompanhar todo o ciclo de execução, não apenas o momento em que o modelo recebe ou produz uma resposta.
Um modelo avançado pode possuir mecanismos sofisticados de proteção, mas continuar vulnerável se o navegador interno, o ambiente de execução ou uma biblioteca de terceiros permitir que conteúdo malicioso ultrapasse os limites estabelecidos.
A descoberta da Check Point demonstra exatamente esse problema. A proteção de dados em plataformas de IA depende de uma arquitetura integrada, na qual modelo, aplicação, sandbox, conectores e infraestrutura respeitem os mesmos objetivos de segurança.
À medida que os agentes inteligentes passam a executar tarefas reais, acessar documentos e interagir com sistemas corporativos, essas preocupações deixam de ser apenas teóricas. Elas passam a fazer parte da rotina de administradores, desenvolvedores e profissionais de cibersegurança.