Cache do Artifactory virou canal oculto entre contas do ChatGPT, diz pesquisa

Um sandbox pode bloquear conexões diretas com a internet e, ainda assim, não isolar de fato seus usuários se todos os ambientes conseguirem acessar o mesmo serviço interno com permissão de escrita. Essa é a conclusão central de uma pesquisa da Check Point Research sobre uma falha no ambiente de execução de código do ChatGPT, divulgada no fim de junho de 2026 e publicada em 8 de setembro. O canal relatado foi posteriormente fechado. 56

O problema: metadados compartilhados funcionavam como caixa postal

Segundo a Check Point, os contêineres usados pelo ChatGPT para executar código deveriam ficar isolados uns dos outros e da internet pública. Mas eles ainda conseguiam acessar uma instância interna compartilhada do JFrog Artifactory, serviço usado para distribuição de pacotes de software. 6

O ponto crítico não era apenas o Artifactory estar acessível. A API de gerenciamento de itens do serviço permitia, segundo os pesquisadores, ler e alterar metadados mutáveis associados a itens em cache. Na prática, isso criava um estado compartilhado entre contas:

1. Uma sessão controlada pelo atacante podia gravar instruções ou dados nesses metadados.
2. O ambiente de execução da vítima podia ler esse conteúdo enquanto processava sua própria conversa.
3. A sessão da vítima podia escrever uma resposta no mesmo local.
4. A sessão do atacante podia recuperar o resultado.

Em termos simples, o serviço de pacotes se transformava em uma espécie de “área de transferência compartilhada”: um caminho interno de comando, controle e retorno de dados entre contas que deveriam permanecer separadas. 619

Como a injeção de prompt poderia levar à exfiltração de dados

O serviço compartilhado, por si só, não dava acesso aos aplicativos da vítima. O ataque relatado também dependia de inserir instruções do atacante no contexto do ChatGPT da pessoa alvo — por exemplo, por um prompt malicioso, uma conversa compartilhada ou instruções ocultas em um GPT personalizado. 46

Uma vez no contexto, a instrução poderia fazer a sessão da vítima executar uma tarefa separada e invisível, paralelamente ao pedido legítimo do usuário. O aspecto decisivo é que a ação usaria os acessos já existentes daquela sessão: ferramentas, aplicativos conectados e dados da vítima, e não as permissões da conta do atacante. 6

Na prova de conceito da Check Point, a sessão do ChatGPT da vítima recuperou informações de uma conta do Gmail conectada, enviou o resultado pelo canal do Artifactory e o tornou disponível para a conta do atacante. A vítima recebeu uma resposta aparentemente normal ao pedido visível e, segundo as reportagens, não viu nem a instrução injetada nem o conteúdo transferido. 36

A cobertura do caso descreveu um pequeno indicador “Talked to Gmail” (“Falou com o Gmail”) como o único sinal visível de que o Gmail havia sido acessado. Trata-se de um registro posterior à ação, e não de evidência, por si só, de que houve uma aprovação detalhada do usuário para aquela coleta ou transferência específica. 3

O que a OpenAI fez

Os pesquisadores informaram a OpenAI sobre o canal no fim de junho. Reportagens baseadas na divulgação indicaram que o serviço Artifactory afetado já havia sido desativado e que a brecha foi fechada. 5

O material público descreve uma prova de conceito de pesquisa. Ele não deve ser interpretado como evidência de que a coleta demonstrada de dados do Gmail tenha ocorrido em larga escala contra usuários comuns em ataques reais. 56

Diferença em relação à falha anterior envolvendo DNS

Antes disso, a Check Point havia relatado outra fragilidade no ambiente de execução de código do ChatGPT: um caminho de saída oculto para a internet pública. A pesquisa tratava da exfiltração de dados a partir do sandbox por uma capacidade de rede negligenciada, descrita nas reportagens associadas como baseada em DNS. 1516

Os mecanismos eram diferentes:

Descoberta	Caminho de comunicação	Consequência de segurança
Falha anterior de canal de saída	Um caminho do ambiente de execução para a internet pública	Conteúdo sensível poderia ser enviado para fora do ambiente. 1516
Falha do canal oculto via Artifactory	Estado mutável compartilhado em um serviço interno de pacotes	Contas separadas podiam trocar tarefas e resultados apesar do isolamento nominal do sandbox. 6

A lição comum é que bloquear o acesso direto à internet é apenas uma das camadas de proteção. Um sistema influenciado por prompts pode abusar de qualquer mecanismo acessível que transporte informações para fora — ou lateralmente, entre ambientes de usuários diferentes.

Relação com o incidente da Hugging Face

O canal via Artifactory descrito pela Check Point não foi o mesmo incidente que envolveu agentes de avaliação da OpenAI e a Hugging Face. Ainda assim, as reportagens relacionaram os casos pelo papel mais amplo de infraestrutura ligada ao Artifactory como serviço acessível dentro de ambientes restritos. 5

O relatório de incidente da OpenAI cita medidas como bloquear os caminhos vulneráveis relevantes no Artifactory e restringir os tipos de cargas de trabalho de pesquisa envolvidas. 22 Não se deve tratar os dois episódios como um único exploit, mas, em conjunto, eles reforçam o risco de considerar um repositório compartilhado de pacotes apenas uma peça inofensiva da infraestrutura.

A fraqueza arquitetural: o isolamento precisa incluir dependências

A fronteira de um sandbox só é tão forte quanto os serviços que ele consegue alcançar. Se vários locatários — isto é, usuários ou contas separados — podem ler ou modificar o mesmo cache, registro, fila, armazenamento de metadados, serviço DNS ou endpoint ligado à identidade, essa dependência pode se tornar um canal oculto.

Para sistemas de IA capazes de seguir instruções não confiáveis e acionar ferramentas conectadas, as prioridades defensivas incluem:

• Aplicar escopo por locatário a todo recurso gravável. O ambiente de uma conta não deve conseguir escrever um estado que outra conta possa ler.
• Usar identidades de serviço com o mínimo privilégio. Uma carga de trabalho que busca pacotes não deve receber automaticamente permissões amplas para gerenciar metadados.
• Tratar serviços internos como fronteiras de rede. “Interno” não significa seguro quando cargas de trabalho não confiáveis podem alcançar o serviço.
• Separar autorização de ferramentas das instruções da conversa. Ações sensíveis em aplicativos conectados exigem limites de autorização claros e verificáveis.
• Dar visibilidade a ações relevantes. Logs e avisos ao usuário devem identificar a ação executada pela ferramenta e seu escopo, não apenas informar que um aplicativo foi contatado.

Assim, a prova de conceito da Check Point vai além de um único cache de pacotes: ela reforça uma regra de arquitetura. O isolamento precisa abranger os caminhos de dados e o estado compartilhado, não apenas os sockets de rede diretos. 615