Link compartilhado do ChatGPT permitia execução de código e leitura de conversas privadas
Pesquisadores da empresa de segurança Parameter encontraram uma falha no recurso de compartilhamento de links do ChatGPT que permitia executar código na sessão autenticada de quem abrisse um link malicioso, expondo o histórico de conversas privadas da vítima. A OpenAI recebeu o relato pelo seu programa de bug bounty em 18 de outubro de 2026 e aplicou a correção oito dias depois, classificando o problema como P1, sua categoria mais grave.
O recurso de compartilhamento de conversas do ChatGPT gera uma URL pública a partir de um diálogo específico, pensada para que o autor mostre o conteúdo a terceiros sem exigir login. Pesquisadores da Parameter demonstraram que esse mecanismo podia ser abusado: ao preparar um link de compartilhamento malicioso e induzir a vítima — já autenticada em sua própria conta do ChatGPT — a abri-lo, era possível executar código no contexto da sessão dela e, a partir daí, ler o histórico de conversas privadas dessa mesma vítima. Ou seja, o ataque não dependia de roubar credenciais: bastava o clique em um link aparentemente inofensivo.
Falhas desse tipo costumam nascer de uma lacuna comum em páginas que renderizam conteúdo gerado por terceiros dentro de um domínio autenticado: se o visualizador do link compartilhado não neutraliza adequadamente marcações, scripts ou payloads embutidos na conversa original antes de exibi-la, o navegador da vítima acaba interpretando esse conteúdo como parte confiável da aplicação. O resultado prático é uma execução de script dentro da própria origem do ChatGPT, herdando os cookies e tokens de sessão de quem abriu o link — o equivalente a um sequestro de sessão sem necessidade de phishing de senha.
O impacto é relevante porque recursos de "compartilhar conversa" existem hoje em praticamente todos os grandes assistentes de IA, e todos compartilham a mesma tensão: permitir que conteúdo potencialmente controlado por um atacante seja renderizado para outro usuário autenticado. Na prática, esse padrão transforma uma funcionalidade de colaboração em superfície de ataque para sequestro de conta, com acesso a conversas que hoje concentram dados sensíveis — projetos de trabalho, informações pessoais, credenciais discutidas em texto — equivalentes a uma caixa de e-mail.
O caso também é um exemplo de resposta rápida da indústria: a OpenAI classificou a falha como P1 (grau máximo de severidade interna) e aplicou a correção em oito dias após o relato via bug bounty, um prazo curto para esse tipo de vulnerabilidade em um produto com milhões de usuários ativos.