Pesquisadores da Check Point Research (CPR), divisão de inteligência de ameaças da Check Point Software, identificaram um canal oculto de comunicação entre contas diferentes do ChatGPT. A vulnerabilidade permitia que um atacante utilizasse a sessão de outro usuário para executar tarefas e acessar dados, ferramentas e aplicativos conectados à conta da vítima. Em uma prova de conceito, o sistema consultou informações de uma conta do Gmail vinculada e as enviou ao atacante enquanto a conversa exibida permanecia aparentemente normal.
O canal foi identificado nos ambientes de execução de código do ChatGPT. Embora fossem isolados, a CPR descobriu que eles compartilhavam acesso a um serviço interno usado para fornecer pacotes de software, uma instância do JFrog Artifactory. Uma característica dessa ferramenta permitia que informações gravadas em um ambiente fossem consultadas por outro, mesmo em contas distintas. Esse mecanismo criou uma via de comunicação direta entre ecossistemas que deveriam permanecer separados.
Os pesquisadores transformaram essa brecha em um canal de tarefas paralelas. Por meio de comandos maliciosos, conversas compartilhadas ou GPTs personalizados, uma instrução fazia o ChatGPT processar ações ocultas enquanto respondia ao usuário normalmente. Na demonstração, ao abrir um link compartilhado, o assistente atendia à solicitação visível e, simultaneamente, acessava o Gmail para recuperar dados sigilosos, apresentando apenas o discreto indicativo “Talked to Gmail” na interface.
A exploração permitia extrair históricos de conversas, arquivos e dados de sistemas integrados como Gmail, Google Drive, Microsoft Teams e GitHub. A investigação revela o risco do “usuário interno coagido”, cenário no qual o modelo de IA não age com intenção maliciosa, mas é persuadido a usar acessos legítimos e credenciais autorizadas em benefício de terceiros.
O caso dialoga com o incidente recente na Hugging Face, ressaltando como serviços internos compartilhados podem criar vias de comunicação indevidas em ambientes isolados. A Check Point Research informou que o canal já foi desativado após a OpenAI confirmar o desligamento da instância do Artifactory identificada no estudo.
“Esta investigação mostra que o desafio de segurança relacionado à IA não está mais restrito ao modelo em si. Ele também envolve os acessos e os níveis de confiança que concedemos a esses sistemas. Com a conexão crescente dos assistentes de IA a sistemas corporativos e dados sensíveis, as organizações precisam considerar que qualquer capacidade autorizada pode ser alvo de uso indevido”, alerta Eli Smadja, líder de pesquisa da Check Point Research.
“Isso torna essencial combinar uma abordagem preventiva com visibilidade, governança e proteção durante a execução, para garantir que a IA continue sendo um recurso para os negócios, e não uma nova fonte de risco cibernético. As organizações que estiverem à frente serão aquelas que protegerem as interações com a IA antes que os atacantes possam explorá-las”, conclui Smadja.
