A equipe de segurança Parameter divulgou uma cadeia de ataque ao ChatGPT que já foi corrigida: o atacante envia um link comum de compartilhamento de conversa, a vítima o abre com a conta logada e o JavaScript do atacante passa a rodar dentro da sessão do chatgpt.com. Nos testes, os pesquisadores listaram as conversas recentes da vítima, leram uma conversa privada que nunca havia sido compartilhada e enviaram uma pequena quantidade de dados a um servidor externo.
Todo o processo dispensa instalar aplicativos, conectar plugins de terceiros ou abrir as ferramentas de desenvolvedor. A OpenAI confirmou a correção em 26 de outubro e classificou a falha como P1.
Dois recursos bem isolados, ligados por um teclado
A pré-visualização de HTML do ChatGPT roda em um domínio isolado, que por projeto não alcança a página principal. O problema está nos gráficos interativos das conversas: eles carregam a biblioteca de entrada de matemática MathLive, que instala na página principal um ouvinte de mensagens do teclado virtual.
O relatório da Parameter divide a falha em várias camadas:
- O ouvinte não verifica de onde vem a mensagem, então a pré-visualização no domínio isolado também consegue enviar mensagens a ele
- As mensagens podem alterar o layout do teclado, o layout aceita HTML e este acaba gravado na página principal
- A função encarregada de “sanitizar” apenas marca a string como confiável
- O iframe recém-inserido não tem atributo sandbox e herda a identidade do chatgpt.com
- A política de segurança de conteúdo permite scripts do YouTube, e os pesquisadores a contornaram usando uma interface de callback dele
Nas primeiras versões, a vítima ainda precisava conectar o app do ChatGPT dos pesquisadores. Depois, eles colocaram o gráfico e a pré-visualização maliciosa na mesma conversa pública, e só o recurso de compartilhamento já bastava para a entrega. O relatório também divulga parte dos detalhes das requisições, que não reproduzimos aqui.
Quanto ao efeito do ataque, o que o relatório testou na prática foi a leitura de conversas e o envio de dados para fora. A ideia de “executar qualquer ação em nome da vítima” é uma dedução dos pesquisadores a partir da interface de autenticação do front-end, e não foi demonstrada item a item.
Oito dias da denúncia à correção
O relatório é bem detalhado. Em 13 de outubro, confirmou-se o caminho via MathLive; em 16 de outubro, a reprodução funcionou entre contas e entre espaços de trabalho; em 18 de outubro, o achado foi enviado ao programa de recompensas da OpenAI. A OpenAI reproduziu o problema em 21 de outubro e elevou o nível de P2 para P1, avisou em 22 de outubro que um front-end já estava corrigido e o outro ainda em atualização, e em 23 de outubro ajustou primeiro a política de segurança de conteúdo, bloqueando parte da cadeia.
A versão web do ChatGPT roda dois front-ends ao mesmo tempo, por isso a correção também aconteceu em duas etapas.
Não é a primeira vez que há tomada de conta
Compartilhamento, plugins, cache: as falhas de tomada de conta do ChatGPT no passado estavam, em sua maioria, na periferia do fluxo principal. Em 2023, o pesquisador Nagli usou web cache deception para obter um token de acesso, também exigindo apenas que a vítima clicasse em um link; em 2024, a Salt Labs divulgou um problema de redirecionamento no fluxo de autorização de plugins. Desta vez, a porta de entrada é uma biblioteca de terceiros usada para renderizar conteúdo.
O próprio MathLive também não é novato em problemas: a Base Nacional de Vulnerabilidades dos Estados Unidos registra a falha de cross-site scripting CVE-2025-29049, que afeta a versão 0.103.0 e anteriores. Esse registro não menciona mensagens do teclado virtual, e não se vê relação direta entre os dois casos.
Por ora, o usuário comum não precisa fazer nada. O relatório não diz se a cadeia chegou a ser explorada, a OpenAI não publicou um comunicado específico e não conseguimos verificar se houve vítimas. Um hábito vale a pena manter: trate links de compartilhamento do ChatGPT enviados por desconhecidos como qualquer outro link da web.
O conselho do relatório aos desenvolvedores é simples: em mensagens entre janelas, valide tanto a origem quanto a janela remetente; não deixe opções de configuração carregarem HTML bruto; e trate a política de segurança de conteúdo apenas como linha de defesa de reserva.
Fontes: CocoLoop, relatório de pesquisa de segurança da Parameter, Base Nacional de Vulnerabilidades dos EUA; o andamento da correção e as recompensas seguem o que a equipe de pesquisa divulgou, e a OpenAI não fez comunicado específico.