Falha no ChatGPT permitia sequestro de conta com um clique em link malicioso

Uma falha descoberta na ferramenta de criação de aplicativos interativos do ChatGPT permitia, até ser corrigida, que um simples link tomasse conta da sessão de outra pessoa. Quem clicasse nesse link, estando logado, podia ter dados privados roubados e até ações tomadas em seu nome dentro da própria conta. A descoberta foi feita pela empresa de segurança Parameter Labs e relatada pelo pesquisador e desenvolvedor Simon Willison em seu blog, em 31 de outubro de 2026.

Para quem usa o ChatGPT para organizar agenda, revisar contratos ou redigir e-mails de trabalho, o caso importa menos pelo lado técnico e mais pelo recado: o chat guarda muita coisa sensível, e um clique errado pode não ser só uma perda de tempo.

O que a falha permitia fazer

O ponto de origem é um recurso do ChatGPT chamado de pré-visualizações em HTML (antes chamado de Canvas), usado para gerar páginas, gráficos e pequenos aplicativos interativos direto na conversa. Esse conteúdo roda dentro de um iframe, uma espécie de janela isolada dentro da página, que deveria funcionar como uma caixa fechada: o que acontece lá dentro não pode mexer no resto do ChatGPT nem acessar dados da conta.

A Parameter Labs encontrou uma brecha nessa caixa fechada. O ChatGPT usa uma biblioteca chamada MathLive para mostrar fórmulas matemáticas, e essa biblioteca tem um teclado virtual próprio que pode ser acionado de dentro do iframe por uma função chamada postMessage(). O código que recebia esse aviso usava innerHTML para desenhar o teclado na tela, só que sem checar direito quem estava mandando o aviso.

Na prática, isso deu a qualquer conteúdo dentro do iframe (inclusive um conteúdo malicioso, criado por quem atacava) o poder de inserir HTML na página principal do ChatGPT, fora da caixa fechada.

Como um clique virava o sequestro da conta

Inserir HTML sozinho não executa código automaticamente, e o ChatGPT tem uma proteção chamada Content-Security-Policy (CSP), que bloqueia scripts soltos e só permite carregar script de uma lista pequena de sites confiáveis. O problema é que um desses sites da lista era o YouTube, e o YouTube tem um recurso (o endpoint de oEmbed) que podia ser usado para devolver o código de um jeito que acabava sendo executado mesmo assim.

Com isso resolvido, o ataque tinha o que precisava: rodar código dentro do ChatGPT como se fosse do próprio usuário logado. Dali, buscar dados privados pelas APIs internas e mandar essas informações para fora (por exemplo, embutidas no endereço de uma imagem) era trivial.

O resultado final: bastava criar um link de compartilhamento do ChatGPT e mandar para alguém. Se essa pessoa estivesse logada e clicasse, o atacante podia puxar dados privados da conta dela ou executar ações em nome dela, sem que ela percebesse nada de errado na tela.

Por que isso pesa mais para quem organiza contrato e e-mail pelo chat

Muito administrativo usa o ChatGPT como um assistente permanente: joga ali o rascunho de contrato, o histórico de e-mail com o cliente, a agenda da semana, dados de fornecedor. É prático, porque o histórico fica salvo e pode ser retomado depois. É exatamente isso que torna um ataque desse tipo caro: não é só a conta que fica exposta, é tudo o que está guardado dentro dela.

Se esse tipo de falha fosse explorada contra uma conta com contrato de cliente, dado de CPF, condições comerciais ou correspondência confidencial, o estrago vai muito além de perder acesso ao chat. Por isso vale repetir uma regra que vale para qualquer ferramenta de IA, não só o ChatGPT: dado de cliente nunca entra em uma ferramenta sem contrato de confidencialidade com o fornecedor, e quem usa a ferramenta precisa saber onde checar isso (geralmente nos termos de uso corporativos ou no contrato da empresa com a OpenAI, não no plano pessoal).

O que a OpenAI já corrigiu e o que ainda fica em aberto

A OpenAI fechou a brecha depois do relatório da Parameter Labs e pagou uma recompensa de 5 mil dólares pela descoberta, dentro do programa de bug bounty da empresa. Simon Willison, que divulgou o caso, considerou o valor baixo diante da gravidade do problema:

A OpenAI fechou a falha e pagou uma recompensa de 5 mil dólares para quem encontrou o problema, valor que considero baixo para uma vulnerabilidade tão séria.

OpenAI closed the hole and paid out a $5,000 bug bounty, which I think was a bit cheap for a vulnerability this serious.Simon Willison, desenvolvedor e autor do blog Simon Willison's Weblog

A fonte não traz um comunicado detalhado da OpenAI sobre quando exatamente a correção entrou no ar nem se outras contas chegaram a ser afetadas antes do fechamento da falha. Isso significa que, por ora, o episódio deve ser tratado como um alerta confirmado sobre o tipo de risco, mesmo sem confirmação pública de quantas pessoas foram atingidas.

Cuidados para manter até tudo estar mais claro

Mesmo com a falha corrigida, o caso é um bom motivo para revisar hábitos de quem usa o ChatGPT no trabalho administrativo:

1. Desconfie de links de compartilhamento do ChatGPT recebidos por e-mail ou mensagem de alguém fora da sua equipe, principalmente se vierem sem contexto.
2. Evite abrir, dentro de um chat de trabalho, pré-visualizações em HTML ou gráficos interativos enviados por terceiros desconhecidos.
3. Mantenha contrato, dado de cliente e informação de CPF fora de conversas que depois são compartilhadas por link público, mesmo que o link pareça só para uso interno.
4. Confira se a conta usada no trabalho tem autenticação em duas etapas ativada, o que reduz o estrago mesmo se algum dado vazar.
5. Se a empresa tem um plano corporativo do ChatGPT (Enterprise ou Team), procure o administrador da conta para saber se há política de uso de links compartilhados e de pré-visualizações.

O rascunho que a IA entrega de um contrato, de um e-mail ou de uma resposta a cliente continua precisando de revisão humana antes de sair, e esse caso reforça por que: não é só o conteúdo que precisa ser conferido, é também o canal por onde ele passou. Uma falha corrigida hoje não cancela o hábito de checar a origem de cada link antes de clicar.

Fonte: Simon Willison