Falha no aplicativo do ChatGPT para Mac permitia roubo de dados corporativos

O aplicativo de desktop do ChatGPT para macOS teve uma vulnerabilidade que permitia, na prática, sequestrar o funcionamento do programa na máquina da vítima. Um invasor que explorasse a falha ganhava acesso a todo o histórico de conversas armazenado pelo app e a integrações que o ChatGPT mantém com outros serviços, como sessões abertas no navegador. A OpenAI corrigiu o problema e registrou a correção em seu changelog público em 25 de setembro de 2026, segundo reportagem da Wired.

A falha foi descoberta pela Objective-See Foundation, organização dedicada a pesquisa de segurança no macOS, por meio do analista Patrick Wardle. O caso interessa diretamente a quem decide levar aplicativos de IA para dentro do ambiente corporativo, porque expõe um padrão de risco que não é exclusivo do ChatGPT: para fazer seu trabalho, um assistente de IA desktop precisa de acesso profundo ao sistema, e esse acesso vira alvo.

Como o app se protegia (e onde a proteção falhava)

O ChatGPT para macOS é dividido em vários componentes internos que conversam entre si. Para impedir que um software malicioso se passe por um desses componentes, o app usa verificação de assinatura digital: cada processo confirma que quem está do outro lado da comunicação é, de fato, um componente legítimo da OpenAI, e não um impostor.

O desenho de segurança vai além do básico. Ele checa a assinatura não só do processo que fez a chamada, mas também do processo pai e do processo avô, ou seja, de quem abriu aquele processo e de quem abriu o processo anterior a ele. A ideia é bloquear um ataque em que um software malicioso force um componente confiável da OpenAI a atuar como intermediário e disparar um pedido que pareça legítimo.

A Objective-See encontrou uma brecha nessa cadeia de verificação. Um dos componentes, um interpretador de scripts, aceitava um script não confiável (uma lista de comandos) e podia ser manipulado para injetar esse script dentro do processo principal do ChatGPT. Wardle descreveu o contorno da checagem de três camadas em termos simples:

Eles também checam o processo pai e o avô daquele processo, mas o script malicioso simplesmente dispara o interpretador de scripts três vezes seguidas e só então faz o pedido, de forma que ele satisfaz os requisitos.

They also check the parent and grandparent of that process, but the malicious script just spawns the script interpreter three times and then makes the request so it will satisfy the requirements.Patrick Wardle, analista de software na Objective-See Foundation

Na prática, o ataque fabricava a própria linhagem de processos exigida pela verificação, encadeando três execuções do interpretador até chegar a uma cadeia pai/avô que o sistema considerava válida. Segundo Wardle, a prova de conceito que ele escreveu para demonstrar o problema tinha cerca de uma dúzia de linhas de código, o que classifica a exploração como "insanely trivial", ou seja, trivial a ponto de soar absurdo.

O que um invasor ganhava, e o limite real do ataque

Com o processo principal do ChatGPT comprometido, o invasor conseguia ler os registros de conversa armazenados pelo app e, mais grave para um ambiente de trabalho, fazer o ChatGPT executar comandos em nome dele. Isso incluía acessar o navegador ou outros aplicativos sensíveis, com o pedido malicioso aparecendo ao sistema como se fosse uma instrução legítima emitida pelo próprio software da OpenAI.

Há um limite importante para quem avalia a gravidade real do caso: a falha só podia ser explorada por um invasor que já tivesse conseguido instalar algum malware na máquina alvo. Não era uma brecha explorável remotamente do zero, e sim um mecanismo de escalada: uma vez dentro do sistema, o atacante usava a confiança concedida ao ChatGPT para se mover lateralmente e acessar dados que, de outra forma, exigiriam permissões adicionais.

Esse detalhe muda a leitura para quem faz avaliação de risco em TI. Um app com esse tipo de falha não é a porta de entrada do ataque, mas funciona como multiplicador de dano depois que a porta de entrada já foi arrombada por outro vetor (phishing, software pirateado, dependência comprometida). Em um comparativo rápido de cenários de exposição:

Por que isso pesa mais em ambiente corporativo

Wardle resume o problema estrutural por trás do caso específico do ChatGPT com uma analogia que vale para qualquer agente de IA com acesso amplo ao sistema:

Agentes precisam de muito acesso para fazer o trabalho deles. Eles são como o gerente do prédio que tem as chaves de todos os quartos. Então, se eles puderem ser corrompidos ou subvertidos, isso é superproblemático. Pode significar que código sem privilégio passe a ter acesso potencial a tudo.

Agents need a lot of access to do their job. They are like the building manager who has access to the keys to all the rooms. So if they can be corrupted or subverted, that's super problematic. It can mean that unprivileged code could then potentially have access to all the things.Patrick Wardle, analista de software na Objective-See Foundation

Para quem avalia liberar ChatGPT desktop (ou qualquer assistente de IA local equivalente) em máquinas que tocam dado de cliente, essa analogia é literal. O app não guarda só o histórico de prompts: ele fica interligado a sessões de navegador e, dependendo da configuração, a outras aplicações do sistema. Uma falha de validação interna transforma esse acesso amplo em um único ponto de comprometimento para tudo que o usuário já tinha aberto na sessão.

Isso não significa banir apps de IA desktop, mas tratá-los como qualquer outro software com privilégio elevado: manter atualização automática ativa, restringir em quais máquinas (e com que dado) o app roda, e nunca liberar a ferramenta sem contrato que defina o que acontece com o dado processado. Antes de aprovar o uso de qualquer assistente de IA em máquina que acessa informação de cliente, vale conferir se o contrato de uso cobre retenção de dados e se o fornecedor publica changelog de segurança, como a OpenAI fez neste caso.

Não é um caso isolado, e a OpenAI reconhece a pressa

Questionada pela Wired, a OpenAI confirmou a falha e a correção. A porta-voz Shane Bauer declarou:

Continuamos evoluindo nossas práticas de segurança, mas reconhecemos a necessidade de agir mais rápido.

We continue to evolve our security practices, but recognize a need to move faster.Shane Bauer, porta-voz da OpenAI

A Objective-See não parou no ChatGPT. Wardle também encontrou e reportou uma falha, já corrigida, na funcionalidade de ditado do assistente Muse, da Meta, que poderia ser explorada por um invasor local para capturar um token de autenticação mal protegido e obter acesso a dados do usuário. Mais recentemente, ele enviou à OpenAI um novo achado relacionado à integração entre o ChatGPT e o Dots, o assistente de IA sempre ativo da própria empresa; o relatório ainda está em análise pela OpenAI.

O padrão que emerge desses três casos é o mesmo: fabricantes de IA estão priorizando lançamento de recursos em ritmo acelerado, e a superfície de ataque cresce junto. Na visão de Wardle:

Empresas de IA estão fixadas em adicionar recursos agora. Mas, como sempre, quanto mais recursos, maior a superfície de ataque. Então todas essas empresas precisam estar totalmente focadas em segurança, e pelo que vejo, ainda parece frequentemente um pensamento posterior.

AI companies are fixated on adding features right now. But as always, the more features, the broader the attack surface. So all of these companies need to be fully focused on security, and from what I can see, it still often seems like an afterthought.Patrick Wardle, analista de software na Objective-See Foundation

Para quem constrói ou integra agentes de IA na própria empresa, o caso do ChatGPT para Mac funciona como lembrete prático: toda vez que um agente ganha permissão para rodar scripts, acessar o sistema de arquivos ou falar com outros processos, essa permissão precisa de verificação que resista a um invasor que já está dentro da rede, não só a um atacante remoto. Verificar assinatura de processo pai e avô parecia suficiente até alguém descobrir que bastava encadear o processo certo três vezes. Wardle vai detalhar outras falhas encontradas em apps de IA para macOS em novembro, na conferência Objective by the Sea.

Fonte: Wired — AI