Introdução
Usuários confiam rotineiramente assistentes de IA com informações altamente sensíveis, incluindo registros médicos, documentos financeiros e código de negócios proprietário. A Check Point Research divulgou recentemente uma vulnerabilidade crítica na arquitetura do ChatGPT que permitia aos atacantes extrair exatamente esse tipo de dados de forma silenciosa.
Burlando salvaguardas de saída
A OpenAI projetou o ambiente de execução de código baseado em Python como uma sandbox segura, bloqueando intencionalmente solicitações HTTP de saída diretas para evitar vazamento de dados. Chamadas de API externas legítimas, conhecidas como GPT Actions, exigem consentimento explícito do usuário através de diálogos de aprovação visíveis. No entanto, os pesquisadores descobriram uma burla que depende inteiramente de túnel DNS.
Embora o acesso à internet convencional estivesse bloqueado, o ambiente do container ainda permitia resolução DNS padrão. Os atacantes aproveitaram essa falha codificando dados sensivos do usuário em rótulos de subdomínio DNS. Em vez de usar o DNS apenas para resolução de nomes de IP, a exploração fragmenta dados, como um diagnóstico médico ou resumo financeiro, em fragmentos seguros.
Armas de Custom GPTs
O ataque requer interação mínima do usuário e inicia com um único prompt malicioso. Atores de ameaças podem distribuir essas cargas úteis em fóruns públicos ou redes sociais, disfarçando-as como hacks de produtividade ou jailbreaks para desbloquear capacidades premium do ChatGPT. Uma vez que um usuário cola o prompt em seu chat, a conversa atual se torna um canal de coleta de dados clandestino.
Se um usuário interagir com um GPT adulterado, como um "médico pessoal" simulado analisando PDFs médicos enviados, o sistema extrai secretamente identificadores de alto valor e avaliações. Como os desenvolvedores de GPT oficialmente não têm acesso aos logs de chat individuais do usuário, esse canal lateral fornece um mecanismo furtivo para colher fluxos de trabalho privados.
Canal de comunicação bidirecional
A vulnerabilidade se estendeu muito além do roubo passivo de dados, oferecendo um canal de comunicação bidirecional entre o tempo de execução e o atacante. Como os atores de ameaças podem codificar fragmentos de comando nas respostas DNS, eles podem enviar instruções brutas de volta para a sandbox isolada. Um processo executando dentro do container poderia remontar essas cargas úteis e executá-las, efetivamente concedendo ao atacante um shell remoto dentro do ambiente Linux.
Patch e implicações
De acordo com a pesquisa da Check Point, essa execução burlou mecanismos de segurança padrão, com comandos e resultados permanecendo invisíveis na interface de chat, deixando os usuários completamente inconscientes da violação. A OpenAI corrigiu com sucesso a questão subjacente em 20 de fevereiro de 2026, fechando o túnel DNS. No entanto, este incidente destaca perfeitamente a superfície de ataque crescente de assistentes de IA modernos à medida que evoluem para ambientes de execução complexos e multicamadas.
O que os CISOs devem fazer
As organizações devem revisar as políticas de uso de IA, restringindo o acesso a dados sensíveis dentro de ambientes de IA pública. Monitorar o tráfego de saída de redes internas para detectar padrões de túnel DNS anômalos. Implementar soluções de DLP (Data Loss Prevention) que inspecionam o conteúdo de prompts e respostas de IA. Considerar o uso de sandboxes isoladas para testes de modelos de IA antes da implantação em produção.
Perguntas frequentes
- Como os dados são exfiltrados? Através de túnel DNS, codificando dados em subdomínios.
- O usuário é avisado? Não, o sistema nega o envio de dados externamente mantendo a ilusão de privacidade.
- A OpenAI corrigiu? Sim, o patch foi aplicado em fevereiro de 2026.