Vulnerabilidade ChatGPhish transforma resumos do ChatGPT em vetor de phishing

A ChatGPhish não é uma falha no modelo de linguagem em si, mas na camada de renderização de respostas do ChatGPT, especificamente no modo como ele processa e exibe Markdown de páginas web resumidas. Quando o assistente interpreta um link ou imagem em Markdown como parte do conteúdo a ser exibido, ele carrega ativamente recursos externos (como imagens hospedadas em S3 ou scripts embutidos em URLs), sem validação de origem ou sandboxing. Isso permite que atacantes injetem código oculto em páginas falsas, que só se manifesta quando o usuário pede um resumo: o resultado final mostra QR codes maliciosos, alertas falsos de segurança com links clicáveis e pixels de rastreamento que expõem IP e User-Agent da vítima, tudo dentro da interface confiável do ChatGPT.

O ataque explora uma lacuna crítica no OWASP Top 10 para LLMs 2025: 'Injeção de Prompt Indireta' (XPIA). Diferente de prompt injection direta, aqui o modelo não executa comandos por engano, ele simplesmente renderiza fielmente conteúdo malicioso vindo de fora, como se fosse neutro. A OpenAI não corrigiu a falha até 1º de junho de 2026, mesmo após reporte via Bugcrowd em 29 de abril. O status 'Não Reproduzível' seguido de 'duplicata' sugere que a equipe técnica não reconheceu o vetor como novo, embora ele amplie significativamente o alcance dos ataques anteriores baseados em Markdown.

Antes, em 2 de junho, a CEVIU havia relatado que o ChatGPT interpretava instruções em Markdown de páginas web como comandos internos, um problema de execução ativa. Já a ChatGPhish, revelada em 29 de maio e publicada em 1º de junho, muda o cenário: agora não há necessidade de o modelo 'executar' nada. Basta que o usuário peça um resumo, e o assistente renderiza passivamente links, imagens e scripts externos, transformando a interface em um canal de exfiltração e phishing sem interação adicional. É uma evolução de superfície de ataque: de exploração ativa do modelo para exploração passiva da camada de apresentação.

Empresas que usam ChatGPT para análise rápida de documentos, relatórios ou páginas de fornecedores estão expostas a vazamentos silenciosos de metadados operacionais, IP interno, User-Agent de estações corporativas, até referers que revelam rotas internas acessadas. Um único resumo malicioso pode entregar um QR code que, ao ser escaneado por um celular, contorna firewalls e políticas de navegação corporativa. Isso desafia modelos tradicionais de defesa: filtros de URL bloqueiam links, mas não imagens com QR codes; sandboxes de navegador não protegem a renderização feita pelo próprio assistente. A falha também evidencia que a confiança implícita em interfaces de IA está se tornando um novo vetor de ataque de cadeia de suprimento digital.