Pesquisadores da empresa Parameter acharam uma falha no ChatGPT em que bastava a vítima abrir o link de uma conversa compartilhada para o atacante rodar código dentro da conta dela, como se fosse o próprio site chatgpt.com. A pessoa não precisava instalar nada, colar nada nem abrir ferramenta de desenvolvedor: abrir o link era a única ação.
Com isso, o relatório mostra que era possível listar as conversas da vítima, ler o conteúdo de uma conversa privada que nunca tinha sido compartilhada e mandar esse conteúdo para um servidor de fora. Os pesquisadores mandaram para fora só um pedacinho, de propósito, como prova.
A OpenAI corrigiu a falha em 26/10/2026 e a classificou como P1, a maior prioridade na escala do relatório. O relatório só foi publicado em 28/10. Você não precisa fazer nada para essa falha. O que vale é entender como ela aconteceu e o que aprender com isso.
Explicação completa da falha, passo a passo e sem jargão
Dois recursos do ChatGPT, inofensivos sozinhos, foram combinados:
- A prévia de HTML. O ChatGPT consegue transformar um bloco de código HTML em uma mini página funcionando. Como essa página pode ter qualquer código, ela roda numa "caixa" separada, em outro endereço, e o navegador não deixa ela olhar a página principal do ChatGPT. Essa isolação funcionava.
- O gráfico de matemática. A conversa também tinha um gráfico interativo, que carrega uma biblioteca de matemática chamada MathLive. Ao carregar, ela instalava na página principal uma espécie de "caixa de correio" que recebe mensagens do teclado virtual de matemática.
A prévia não podia entrar na página principal, mas podia deixar uma mensagem na caixa de correio. O problema foi que a caixa de correio aceitava mensagem de qualquer remetente, sem conferir quem mandou. A mensagem dizia como o teclado virtual devia ser desenhado, e o formato permitia mandar HTML bruto.
O resto da cadeia, em palavras simples:
- A página principal desenhou esse HTML recebido, e dentro dele havia uma moldura que criou uma página nova sem a proteção de caixa. Como foi a página principal que a criou, o navegador deu a ela a identidade do chatgpt.com.
- A política de segurança do ChatGPT bloqueava código escrito direto na página, mas permitia carregar código do YouTube. Um endereço do YouTube devolvia o texto que o atacante escolhesse. Foi o contorno final.
- Pronto: código do atacante rodando como chatgpt.com, dentro da sessão de quem abriu o link.
- Com essa identidade, o código podia pedir ao ChatGPT a lista de conversas e o conteúdo de uma delas, e enviar para fora.
Para virar um ataque realista, o atacante precisou colocar as duas peças (o gráfico real e a prévia de HTML) na mesma conversa e publicar pelo botão normal de compartilhar. O link /share/... gerado levava a cadeia completa e podia ser mandado por e-mail, chat, chamado de suporte ou rede social.
O ponto central do relatório: a caixa da prévia funcionou; o furo estava na emenda. Outro componente da página principal estava disposto a obedecer ao que a prévia mandasse.
Link do relatório original da Parameter
- Relatório: "Do the Math: How We Took Over ChatGPT Accounts", de Mukul Goyal, 28/10/2026: https://www.parameter.ai/labs/we-found-a-gap-at-openai
- Discussão no Hacker News (361 pontos quando conferi): https://news.ycombinator.com/item?id=50314699
O relatório é técnico e está em inglês. Esta página é a versão sem jargão.
Linha do tempo: descoberta, correção em 26/10 e publicação em 28/10
As datas importantes, em ordem:
| Data | O que aconteceu |
|---|---|
| Outubro de 2026 | Pesquisadores da Parameter acham a falha |
| 26/10/2026 | A OpenAI corrige, em duas versões do site do ChatGPT, e marca o problema como resolvido (severidade P1) |
| 28/10/2026 | A Parameter publica o relatório |
Durante a correção, uma mudança na política de segurança bloqueou parte da cadeia original, e uma das versões ainda precisava de atualização. No dia 26/10, a OpenAI confirmou que as duas passaram a recusar as mensagens usadas no relatório.
O que isso significa (e o que não significa)
- Não há registro de conta invadida de verdade. O relatório mostra a prova de conceito dos pesquisadores, feita em contas de teste.
- Não existe passo de proteção para você fazer. A falha foi corrigida pela OpenAI antes de o relatório sair.
- Link compartilhado do ChatGPT hoje não é perigoso por causa dessa falha, que já foi fechada. Isso não quer dizer que nenhum link nunca será problema, e sim que essa cadeia específica não funciona mais.
A lição do relatório sobre link público
A lição que a própria Parameter deixa: toda superfície pública ou compartilhável deve ser tratada como entrada controlada por quem pode atacar. Em português claro:
- Quem recebe um link compartilhado está abrindo conteúdo escrito por outra pessoa, e isso vale para qualquer IA, não só o ChatGPT.
- Um componente que recebe mensagem de outro deve conferir quem mandou, e não só o formato da mensagem.
- Funções isoladas e seguras podem formar uma falha quando se encontram. A segurança está também nas emendas.
Na prática, para o seu dia a dia:
- Pense antes de abrir link compartilhado de IA que veio de desconhecido, como pensaria com qualquer link.
- Se você usa IA na empresa, não trate link de conversa compartilhada como se fosse um documento seu.
- Mantenha o navegador atualizado. Alguns recursos de proteção dependem dele.
Fontes
- Parameter Labs, "Do the Math: How We Took Over ChatGPT Accounts": https://www.parameter.ai/labs/we-found-a-gap-at-openai (acessado em 08/11/2026)
- Hacker News, item 50314699: https://news.ycombinator.com/item?id=50314699