Falha no ChatGPT permitia que um prompt plantado enviasse dados do Gmail da vitima para outra conta
A Check Point Research encontrou uma vulnerabilidade em que uma instrucao maliciosa plantada numa conversa do ChatGPT fazia o modelo, em segundo plano, ler dados do Gmail conectado da vitima e envia-los a uma segunda conta ChatGPT controlada pelo atacante. O canal de exfiltracao explorava um servico interno de distribuicao de pacotes (JFrog Artifactory) usado pelos containers de execucao de codigo, que acabava funcionando como uma especie de area de transferencia compartilhada entre contas diferentes. A OpenAI desativou o servico responsavel sem exigir nenhuma acao do usuario.
O ataque comecava com uma instrucao maliciosa plantada em algum ponto que o usuario acabaria expondo ao ChatGPT -- um prompt colado de outra fonte, uma conversa compartilhada aberta pela vitima, ou instrucoes ocultas dentro de um GPT customizado. Bastava uma mensagem comum da vitima para disparar o gatilho: o ChatGPT passava a executar, silenciosamente, um segundo fluxo de trabalho no modo Thinking, paralelo a resposta normal que o usuario via na tela.
A parte tecnicamente interessante e o canal de exfiltracao. Em vez de depender de uma requisicao de rede externa obvia (que ferramentas de seguranca poderiam bloquear), o ataque abusava de um servico interno da OpenAI -- um Artifactory usado para distribuir pacotes Python/npm aos containers de execucao de codigo do ChatGPT. Como as credenciais de leitura desse servico permitiam tambem escrever metadados em arquivos de cache, containers de contas diferentes passavam a compartilhar, sem saber, uma especie de "quadro de avisos" comum. Os dados roubados do Gmail eram codificados em Base64 e fatiados em multiplas propriedades quando necessario, para depois serem lidos por um segundo container controlado pelo atacante.
O ponto central para quem pensa em seguranca de agentes de IA e que a superficie de ataque nao estava no modelo de linguagem em si, nem na integracao com o Gmail isoladamente, mas na infraestrutura auxiliar (pipeline de pacotes, sistema de cache entre containers) que sustenta a execucao de codigo dentro do assistente. Prompt injection continua sendo o vetor de entrada, mas o dano so vira exfiltracao real porque existia um canal lateral nao pensado como fronteira de confianca entre usuarios.
Isso reforca um padrao que vem se repetindo em assistentes com ferramentas conectadas (email, calendario, arquivos): o isolamento entre contas/tenants dentro da infraestrutura de execucao precisa ser tratado com o mesmo rigor que o isolamento de rede tradicional, porque qualquer superficie compartilhada -- mesmo que pensada apenas para cache ou distribuicao de dependencias -- pode virar canal de exfiltracao cross-tenant assim que um agente com ferramentas passa a rodar codigo e ler dados sensiveis do usuario.