Falha no ChatGPT permitia sequestro de contas por link compartilhado; OpenAI corrigiu

Uma falha já corrigida no ChatGPT permitia que um link público de conversa, preparado por um atacante, executasse código JavaScript dentro da sessão autenticada de quem o abrisse. Segundo a pesquisa da Parameter Labs, o código poderia listar conversas privadas, ler seu conteúdo e agir em nome da vítima. A OpenAI recebeu o relato em 18 de outubro de 2026, classificou o caso como severidade P1 e confirmou a correção completa em 26 de outubro.

O ponto mais importante é temporal: a pesquisa descreve uma vulnerabilidade corrigida, não uma instrução para exploração. Não há, na divulgação analisada, confirmação pública de contas comprometidas fora do ambiente controlado dos pesquisadores. Ainda assim, o caso é relevante porque mostra que recursos aparentemente separados — compartilhamento de conversas, prévias de HTML, gráficos interativos e integrações de terceiros — podem formar uma cadeia de risco quando se encontram no mesmo navegador.

Resumo: o que foi corrigido no ChatGPT

• Vetor: um link público de conversa do ChatGPT podia carregar uma prévia HTML maliciosa combinada a um gráfico legítimo.
• Impacto demonstrado: JavaScript executado com a identidade de chatgpt.com podia consultar APIs autenticadas da vítima, inclusive conversas não compartilhadas.
• Interação necessária: em uma variação reproduzida pela Parameter Labs, abrir o link bastava; em outra, a vítima também precisava acionar a prévia.
• Correção: a OpenAI confirmou em 26 de outubro de 2026 que as duas versões do frontend afetadas passaram a rejeitar as mensagens entre frames usadas na cadeia.
• Estado atual: a fonte classifica o caso como resolvido. A recomendação prática é manter atenção a links compartilhados, mas não há indicação de que o usuário precise executar uma ação técnica para receber o patch.

Como a cadeia de vulnerabilidade funcionava

A investigação da Parameter Labs não descreve uma quebra isolada do mecanismo de login do ChatGPT. O problema surgiu na comunicação entre componentes da página. As prévias de HTML — pequenos aplicativos ou páginas geradas dentro de uma conversa — rodam em um frame isolado justamente porque podem conter código não confiável. Esse isolamento, por si só, impedia que a prévia lesse a página principal do ChatGPT.

O caminho inesperado aparecia quando a conversa também incluía um gráfico que carregava a biblioteca MathLive. A página principal mantinha um receptor de mensagens postMessage para configurar o teclado virtual dessa biblioteca. Segundo a Parameter Labs, esse receptor aceitava mensagens que alteravam o layout do teclado sem validar de forma suficiente de qual origem e de qual janela elas vinham.

Na prática, a prévia isolada podia enviar uma mensagem para que o componente privilegiado inserisse HTML no documento principal. A inserção não executava uma tag de script diretamente, mas permitia criar um novo frame sem o isolamento necessário. Esse frame herdava a identidade do site principal; a partir daí, a cadeia usava um endpoint permitido pela política de segurança de conteúdo para alcançar execução de JavaScript.

Esse detalhe importa porque uma Content Security Policy (CSP) não substitui a validação de fronteiras. A CSP limita de onde scripts podem ser carregados; ela não torna seguro um fluxo em que conteúdo não confiável já foi aceito por um componente com privilégios para escrever HTML na página principal. A própria pesquisa aponta a combinação de três decisões: mensagens sem autenticação adequada do remetente, layouts que aceitavam HTML bruto e a criação de um documento sem sandbox.

O que os pesquisadores conseguiram demonstrar

Uma vez que o código rodava como chatgpt.com, ele tinha acesso ao mesmo contexto autenticado usado pela interface web normal. A Parameter Labs relata ter enumerado a lista de conversas recentes de uma vítima de teste, solicitado o conteúdo de uma conversa privada que jamais havia sido compartilhada e enviado uma pequena parte desse conteúdo a um servidor controlado pela equipe.

O risco, portanto, não se limitava a uma alteração visual ou a um alerta na tela. Em termos de segurança, código executado na origem do serviço pode fazer chamadas às APIs que o próprio serviço disponibiliza ao navegador. A extensão exata de ações possíveis dependeria das permissões e dos endpoints acessíveis na sessão, mas a prova controlada já demonstrava a exposição de dados privados e a possibilidade de ações em nome da conta.

A pesquisa também torna explícito um limite importante: ela descreve um ambiente de teste e uma divulgação coordenada. Não apresenta uma lista de vítimas nem evidencia exploração em massa. Tratar a divulgação como confirmação de um incidente amplo seria ir além do que a fonte sustenta.

Linha do tempo da divulgação e da correção

O que usuários e empresas devem fazer agora

Como a correção ocorreu no frontend do serviço, a principal medida é usar o ChatGPT em uma sessão atualizada e desconfiar de links de compartilhamento inesperados — uma prática válida mesmo após o patch. Organizações que usam ChatGPT em fluxos de trabalho devem orientar equipes a não abrir conversas compartilhadas recebidas por canais incomuns sem verificar o remetente, sobretudo quando a mensagem pede urgência ou promete uma ferramenta, gráfico ou demonstração.

Não há indicação, na fonte primária, de que trocar senha seja uma resposta necessária para todos os usuários. Essa recomendação faria sentido apenas se houver sinais concretos de comprometimento de uma conta, como sessões desconhecidas, mudanças não autorizadas ou atividade incomum. Nesses casos, o procedimento apropriado é encerrar sessões, redefinir credenciais e acionar o suporte do serviço.

Para equipes de desenvolvimento, a lição é mais ampla. Toda ponte entre frames precisa validar event.origin e a janela emissora antes de aceitar comandos que mudem estado. Dados vindos de uma área isolada não devem chegar a sinks de HTML privilegiados. E qualquer documento criado a partir de conteúdo influenciável por terceiros precisa conservar restrições de sandbox. São controles complementares: nenhum deles deveria ser o único obstáculo entre entrada não confiável e uma sessão autenticada.

Análise do NoticIA: o risco estava na composição, não em um único recurso

Na análise do NoticIA, a divulgação é especialmente útil por expor uma falha de composição. Não basta auditar a prévia HTML, o gráfico, o mecanismo de compartilhamento ou a CSP separadamente. O risco apareceu quando um frame não confiável encontrou um canal de mensagens aceito pela página principal, que por sua vez podia criar HTML com privilégios de origem.

Esse padrão importa para produtos de IA porque interfaces generativas juntam rapidamente arquivos, aplicativos embutidos, visualizações, ferramentas externas e dados pessoais. A superfície de ataque não cresce apenas pela quantidade de recursos: cresce nas ligações entre eles. Para quem adota IA em empresas, a conclusão prática é que governança não pode olhar só para o modelo e para o prompt. Navegador, sessão, integrações e permissões de ferramentas fazem parte do mesmo perímetro.

O que ainda não está confirmado

• A divulgação não permite concluir quantas pessoas, se alguma fora dos testes, foram afetadas antes da correção.
• Não há detalhes públicos suficientes para medir se todos os tipos de conta ou todos os ambientes do ChatGPT tiveram a mesma exposição.
• O texto técnico afirma que a OpenAI classificou o relatório como P1 e o resolveu; esta matéria não encontrou, até a publicação, um comunicado técnico independente da OpenAI com o mesmo nível de detalhe.

Conclusão

A falha relatada pela Parameter Labs foi corrigida antes de sua divulgação pública, mas ilustra por que segurança em produtos de IA precisa ser analisada de ponta a ponta. Um link de conversa, uma prévia de HTML e um componente de gráfico não deveriam ser capazes de atravessar a fronteira de uma sessão autenticada. O patch reduz o risco imediato; a lição estrutural é validar rigorosamente toda comunicação entre contextos de navegador e tratar a composição de recursos como parte central do modelo de ameaças.