Respondeu a uma pergunta sobre cozinha e leu o Gmail da vítima ao mesmo tempo

A vítima da demonstração da Check Point perguntou ao ChatGPT algo sobre cozinha. Enquanto respondia, a mesma sessão entrou no Gmail ligado, retirou dados de correio e passou-os a um desconhecido. A resposta visível não dizia nada disso. O único rasto era uma pequena etiqueta "Talked to Gmail", e só aparecia quando a leitura já estava feita.

A investigação saiu a 8 de setembro e descreve uma fenda entre contas que nunca devia ter existido. Quando o ChatGPT executa código fá-lo dentro de um contentor selado, sem caminho para a internet, e os contentores de pessoas diferentes deviam ser estranhos entre si. Todos alcançavam, porém, um mesmo serviço interno: uma instância de JFrog Artifactory que distribui pacotes de software e que deixava qualquer contentor pregar pequenas notas em ficheiros em cache e voltar a lê-las mais tarde. A Check Point chama-lhe uma área de transferência partilhada. Um atacante escrevia tarefas ali, a sessão de uma vítima ia ver se havia alguma, e essas tarefas corriam com as permissões que as aplicações ligadas dessa pessoa já tinham. Pôr aquilo a andar exigia quase nada da vítima: um pedido colado numa conversa, um link de conversa partilhada, ou um GPT personalizado com uma instrução escondida na configuração.

A Check Point encontrou isto em junho e a OpenAI desativou desde então a instância de Artifactory envolvida, pelo que não há nada para atualizar do seu lado nem sinal de que alguém tenha sido de facto atacado por esta via. O que sobrevive à correção é a definição por baixo. Se ligou o Gmail, o Drive ou um calendário ao ChatGPT, o nível de permissões por omissão deixa-o ler deles sem pedir, e você fica a saber depois. Nas definições dos conetores há uma opção mais rígida, Always ask, que coloca um pedido de autorização antes de cada leitura.

Vale a pena fazê-lo: passe os conetores para Always ask e trate um link partilhado do ChatGPT ou o GPT personalizado de um desconhecido como trataria um anexo vindo de um endereço que não reconhece. A verificação de Privacidade e contas do Tendvane mostra em que contas o seu PC tem sessão iniciada, e esse é um bom ponto de partida quando quer perceber até onde chega realmente um único início de sessão.