OpenAI corrige falha crítica que permitia tomar contas do ChatGPT

Segurança Digital

OpenAI solucionou vulnerabilidade que expunha contas do ChatGPT a sequestro via links maliciosos.

Leia também: Por que jogos modernos ocupam até 4x mais espaço que o anunciado

Uma vulnerabilidade crítica na versão web do ChatGPT permitia que um atacante tomasse o controle completo da conta de qualquer usuário apenas com o envio de um link de conversa compartilhada. A falha, descoberta neste mês por pesquisadores de segurança, já foi corrigida pela OpenAI em 26 de outubro de 2026, após ser tratada como prioridade máxima (P1) pela equipe interna.

Como o ataque tomava conta da conta do ChatGPT

O ataque começava com a criação de uma conversa maliciosa no ChatGPT. Essa conversa era então publicada normalmente, usando o recurso de compartilhamento de links. Quando a vítima abria o link enquanto estava logada, um código JavaScript injetado na conversa passava a rodar dentro do domínio chatgpt.com, com acesso direto à sessão autenticada.

Na prática, bastava abrir a página compartilhada para que o sequestro da conta fosse possível. “Abrir o link compartilhado foi a única ação necessária para o ataque”, relataram os pesquisadores. A partir dali, o código malicioso podia chamar as mesmas APIs usadas pelo próprio ChatGPT no navegador para listar conversas, ler conteúdos privados e acionar funções em nome do usuário. “O payload foi não limitado a modificar a página ou mostrar um alerta — ele podia chamar diretamente as APIs autenticadas do ChatGPT como a vítima, permitindo o controle da conta”, explicaram.

Os testes mostraram que era possível enumerar a lista de conversas recentes de uma vítima, acessar o conteúdo de diálogos privados que nunca tinham sido compartilhados e enviar essas informações para um servidor externo controlado pelo atacante, tudo sem instalar aplicativos, extensões ou exigir qualquer passo adicional do usuário.

Entenda o contexto

A vulnerabilidade afetava o fluxo de compartilhamento público de conversas, um dos recursos mais usados para dividir respostas do ChatGPT em e-mails, tickets de suporte ou redes sociais. O problema estava restrito à interface web, mas atingia um ponto sensível: o fato de o link parecer legítimo, com domínio oficial, aumentava a chance de vítimas confiarem e abrirem a página sem desconfiança.

Com a correção já aplicada, o risco imediato é reduzido, mas o caso expõe como a combinação de componentes web avançados, bibliotecas de terceiros e recursos interativos de IA pode abrir brechas complexas e difíceis de antecipar.

De onde veio a falha técnica

O ataque explorava a interação entre duas funcionalidades da interface web do ChatGPT: o Preview de código HTML e um componente de gráficos interativos baseado na biblioteca MathLive.

O Preview permite transformar blocos de código HTML em pequenas páginas funcionais, executadas dentro de um iframe isolado em outro subdomínio, justamente para evitar que esse conteúdo tenha acesso direto à página principal do ChatGPT. Em teoria, esse isolamento impediria qualquer leitura ou modificação da sessão autenticada.

O elo fraco estava no MathLive, usado para exibir gráficos e um teclado virtual de fórmulas. Ao ser carregado, o componente instalava na página principal um listener para mensagens via postMessage, mecanismo padrão de comunicação entre iframes no navegador. Esse listener aceitava comandos para alterar o layout do teclado — e esse layout podia conter HTML.

O problema: “MathLive não verificava quem enviava as mensagens que alteravam o layout do teclado”, apontaram os pesquisadores. Assim, o iframe do Preview, mesmo rodando em um contexto teoricamente isolado, conseguia mandar mensagens aceitas pela página principal, pedindo a troca do layout do teclado por um HTML controlado pelo atacante.

Esse HTML era então injetado diretamente no DOM da página do ChatGPT, sem sanitização adequada, por meio de uma atribuição a innerHTML. Com isso, os pesquisadores passaram a conseguir inserir, na página autenticada, um novo iframe com o atributo srcdoc e sem o uso de sandbox — ou seja, um quadro interno que carregava um HTML definido ali mesmo no atributo, mas executado com a identidade completa do domínio chatgpt.com.

Como a proteção do navegador foi contornada

Ainda havia um obstáculo: a política de segurança de conteúdo (CSP) do ChatGPT, que bloqueia scripts inline e controla de onde JavaScript pode ser carregado. O time de pesquisa encontrou então uma brecha ao usar um recurso legítimo autorizado pela própria política: scripts do YouTube.

O ataque se apoiou em um endpoint de incorporação do YouTube com suporte a JSONP — um formato antigo em que a resposta vem como código JavaScript executável, encapsulado em uma função de callback. Ao abusar desse callback, foi possível fazer o YouTube devolver um script contendo código arbitrário definido pelos pesquisadores. Como o YouTube já era permitido pela CSP, o navegador carregava o arquivo e executava o callback no contexto do iframe recém-criado, agora com plenos poderes de chatgpt.com.

Com o JavaScript finalmente rodando no mesmo contexto autenticado da aplicação, os pesquisadores conseguiram atravessar o isolamento inicial do Preview e interagir diretamente com as APIs internas usadas pela interface do ChatGPT para gerenciar conversas e dados do usuário.

Impacto para privacidade e empresas

A combinação de falhas transformava um simples link de conversa pública em uma porta de entrada para roubo de dados. Um atacante poderia enviar o link por e-mail, aplicativos de mensagem, tickets de suporte ou posts em redes sociais. Ao abrir a página logado, o usuário expunha o histórico de conversas, inclusive interações privadas e sensíveis.

Isso atinge em cheio a privacidade de usuários comuns, que frequentemente trocam informações pessoais, rascunhos de trabalho, dados acadêmicos e até documentos confidenciais com o ChatGPT. Em ambientes corporativos, o risco é ainda maior: contas de atendimento, suporte e criação de conteúdo podem conter dados de clientes, códigos proprietários ou estratégias de negócio. Um comprometimento desse tipo pode levar a vazamentos significativos e à manipulação de respostas enviadas a terceiros.

Ainda que o caso divulgado se restrinja ao acesso a conversas, os pesquisadores destacam que, por rodar com o mesmo nível de acesso da interface web, o código injetado não estaria limitado a esses endpoints. Qualquer dado ou ação exposta pelas APIs autenticadas do frontend poderia, em tese, ser alvo de exploração.

Resposta da OpenAI e correção

Após o envio do relatório técnico, a equipe de segurança da OpenAI classificou a vulnerabilidade como P1, a categoria de prioridade máxima, e trabalhou em uma correção que entrou no ar em 26 de outubro de 2026. “A OpenAI corrigiu a falha em 26 de outubro e classificou o relatório como P1”, resumiram os pesquisadores.

A empresa ajustou a forma como o conteúdo HTML é tratado, reforçou a validação de mensagens entre iframes e revisou o uso de componentes de terceiros, como o MathLive, para evitar que HTML arbitrário seja injetado sem filtros na página principal. Também é esperado que a política de segurança de conteúdo passe por revisão para reduzir dependências de mecanismos como JSONP, hoje considerados arriscados.

Para os usuários, a orientação geral em casos como esse é redobrar o cuidado com links de conversas compartilhadas recebidos de desconhecidos, especialmente quando envolvem temas sensíveis ou pedidos urgentes. Com a correção em vigor, o vetor específico explorado pelos pesquisadores não deve mais funcionar, mas a recomendação de cautela continua valendo como boa prática de segurança.

Quais são os riscos de usar múltiplas contas no ChatGPT?

O principal risco de usar múltiplas contas no ChatGPT é perder rastreabilidade e controle sobre onde seus dados sensíveis estão armazenados. Em um cenário como o da falha revelada agora, em que um simples link malicioso poderia tomar o controle da conta, manter várias contas aumenta a superfície de ataque: cada credencial extra é mais um ponto que pode ser comprometido por phishing, senhas reaproveitadas ou links abertos em sessões diferentes.

Além disso, dividir o uso entre contas pessoais e profissionais sem políticas claras pode causar confusão sobre quem é responsável por proteger determinado histórico de conversas, dificultar a revogação de acessos quando alguém deixa uma empresa e levar ao uso de e-mails não auditados para processar informações corporativas. Em organizações, isso pode conflitar com regras internas de compliance e proteção de dados.

Ter várias contas também incentiva o usuário a se logar e deslogar com frequência, muitas vezes em navegadores e dispositivos compartilhados, aumentando a chance de sessões ficarem abertas por descuido. Em qualquer ambiente onde um link malicioso possa acionar ações no contexto da conta logada, multiplicar contas significa multiplicar janelas de exposição.

Como a OpenAI lida com a gestão de múltiplas contas no ChatGPT?

A OpenAI estrutura a gestão de contas do ChatGPT em torno de identidades distintas, cada uma com seu próprio histórico, configurações e, quando aplicável, assinatura de planos pagos como o ChatGPT Plus. Em cenários corporativos, a tendência é concentrar o acesso em contas vinculadas a domínios de empresa, com controles de permissões, política de senhas e, em alguns casos, autenticação em múltiplos fatores gerenciada centralmente.

Casos como a vulnerabilidade revelada em outubro reforçam a necessidade de a empresa revisar continuamente como diferentes recursos — como links compartilhados, anexos e componentes de terceiros — interagem com a camada de autenticação. A correção rápida de um problema classificado como P1 indica que a prioridade, do ponto de vista da OpenAI, é preservar a integridade da sessão autenticada, independentemente de o usuário ter uma ou várias contas.

Na prática, isso significa fortalecer os mecanismos que separam conteúdos públicos (como conversas compartilhadas) de dados privados da conta, limitar o que um link pode fazer em nome de um usuário logado e endurecer políticas de segurança que regem scripts externos e recursos incorporados. A expectativa é que essas medidas beneficiem todos os tipos de conta, únicas ou múltiplas, ao reduzir a chance de que um ataque a um único link comprometa um conjunto maior de identidades.