Pesquisadores driblam o Lockdown Mode do ChatGPT e exfiltram conversas sem interação do usuário
Pesquisadores de segurança divulgaram uma falha, já corrigida, que permitia contornar o Lockdown Mode do ChatGPT, recurso lançado em junho de 2026 para reduzir riscos de exfiltração de dados via prompt injection. A brecha possibilitava o roubo silencioso de conversas e abria caminho para phishing, sem qualquer clique ou ação da vítima.
O Lockdown Mode é um modo opcional do ChatGPT pensado justamente para mitigar o cenário mais temido por quem lida com agentes de IA conectados à web: a prompt injection indireta, em que conteúdo malicioso embutido numa página, e-mail ou documento manipula o modelo para agir contra os interesses do usuário, por exemplo, vazando o histórico da conversa para um servidor controlado pelo atacante. O fato de pesquisadores terem encontrado uma forma de contornar justamente essa camada de proteção é significativo porque o Lockdown Mode era a última linha de defesa oferecida pela OpenAI para esse tipo de ameaça.
Tecnicamente, a descrição pública do achado indica que a falha permitia exfiltração de dados "sem interação do usuário" — ou seja, um ataque zero-click, provavelmente explorando alguma lacuna na forma como o modo restringia chamadas de rede, renderização de conteúdo externo ou navegação feita pelo próprio agente durante uma sessão. Esse tipo de bypass costuma explorar bordas entre camadas de sanitização e execução: um filtro bloqueia um vetor óbvio (como links clicáveis ou imagens externas), mas deixa aberto outro canal, como metadados, redirecionamentos ou chamadas de ferramentas que não passam pelo mesmo crivo.
Na prática, isso importa porque o Lockdown Mode era vendido como uma garantia adicional para usuários e organizações preocupados com a exposição de dados sensíveis em conversas com o ChatGPT quando o modelo processa conteúdo não confiável. Um bypass zero-click nessa proteção específica demonstra que mecanismos de defesa centrados em restringir comportamento do modelo após o fato (em vez de impedir a ingestão de instruções maliciosas) continuam sendo um alvo prioritário de pesquisa ofensiva, e que medidas de mitigação anunciadas como solução definitiva para prompt injection tendem a ter vida útil curta diante de pesquisadores motivados.
A falha já foi corrigida pela OpenAI antes da divulgação pública, o que é o cenário desejável de disclosure responsável, mas o episódio reforça que produtos de IA com acesso a dados sensíveis do usuário precisam ser tratados com a mesma rigidez de testes de penetração contínuos que se aplica a qualquer superfície de ataque crítica, e que usuários não deveriam depender de um único controle para mitigar prompt injection.