Falhas de segurança em plugins para o ChatGPT permitiam roubo de dados sensíveis e contas

As vulnerabilidades nos plugins para o ChatGPT foram identificadas pelos especialistas de segurança da Salt Labs, numa investigação que começou em junho do ano passado. Depois da apresentação das conclusões à OpenAI, as falhas foram corrigidas.

O ChatGPT é dos chatbots mais populares e tem vindo a ganhar fãs pelo modo de funcionamento simples, rapidez de resposta, pela maneira como comunica de modo mais “natural” e pela sua versatilidade. O ChatGPT está disponível através do website da OpenAI, sendo necessária a criação de uma conta na plataforma para a poder utilizar. Existem também versões para iOS, a partir da App Store, e para Android, se bem que, no caso desta última, ainda só esteja disponível em quatro países. · Pexels | Matheus Bertelli

Ainda antes da introdução dos GPTs, os plugins para o ChatGPT já permitiam “moldar” o popular chatbot da OpenAI a uma variedade de aplicações e soluções de serviços terceiros. Apesar da sua utilidade, estes plugins também apresentam riscos de segurança, como revela uma nova investigação.

Os especialistas de segurança da Salt Labs identificaram três tipos de vulnerabilidades nos plugins do ChatGPT, numa investigação que teve início em junho do ano passado e cujas conclusões foram apresentadas à OpenAI, com as falhas a serem corrigidas posteriormente.

Segundo os investigadores, a primeira das vulnerabilidades permitia que cibercriminosos instalassem plugins maliciosos nas contas das vítimas, podendo também aceder à informação privada dos utilizadores, como credenciais, passwords e outros dados sensíveis.

A segunda das falhas de segurança foi identificada no PluginLab, que permite desenvolver plugins para o ChatGPT. A vulnerabilidade permitiria aos atacantes roubar contas em plataformas terceiras associadas aos plugins.

Já a terceira vulnerabilidade foi identificada em vários plugins e relaciona-se com o padrão OAuth, usado na autenticação, e que dava aos cibercriminosos a possibilidade de roubarem credenciais e contas dos utilizadores.

Note-se que, com o passar do tempo, os plugins para o ChatGPT foram eventualmente “substituídos” pelos GPTs, que permitem a criação de versões personalizadas do chatbot da OpenAI para propósitos específicos.

De acordo com a OpenAI, a partir do dia 19 de março não será mais possível instalar novos plugins ou criar novas conversas com plugins já instalados. As conversas que já existiam poderão ser continuadas até ao dia 9 de abril.

Os especialistas da Salt Labs afirmam que os GPTs contam com melhorias de segurança significativas em comparação com os plugins, mitigando a maioria das preocupações levantadas. No entanto, os investigadores realçam que os utilizadores devem manter-se atentos a potenciais riscos de segurança.