O ChatGPT tem ganhado popularidade desde o final de 2022, por trazer uma linguagem natural que permite obter respostas e tarefas de diversos segmentos, apenas por meio de comandos textuais – os chamados “prompts”.

Contudo, como toda inovação tecnológica, a segurança digital também entra em foco aqui, uma vez que as interações demandam alta proteção contra ameaças. O primeiro grande desafio dessa área já veio na última semana, com um vazamento de dados do chatbot. O Detetive TudoCelular explica os detalhes.

O vazamento de dados tem origem de uma falha, ocorrida entre 5h e 14h do último dia 20 de março – uma segunda-feira. O bug teria ocorrido em uma biblioteca de código aberto do ChatGPT, que permitiu a alguns indivíduos verem títulos de histórico de bate-papo de outros usuários ativos ao mesmo tempo.

Na ocasião, os novos usuários do chatbot também passaram a receber e-mails de confirmação de assinatura da versão “Plus” com dados errados. A vulnerabilidade fez com que a OpenAI desligasse os seus servidores, o que deixou a ferramenta de IA offline durante o processo.

Apesar de isso ter ocorrido no dia 20, a descoberta veio apenas em 24 de março, pela especialista em cibersegurança GreyNoise. A empresa identificou que houve efeitos de uma falha explorada em um componente inserido há pouco tempo, para coleta de informações por plugins.

De acordo com o relatório, os exemplos de códigos entregues pela OpenAI aos clientes pelos plugins indicam uma imagem prejudicada pela vulnerabilidade, datada de 17 de março de 2022.

A falha de segurança em questão consiste na CVE-2023-28432, uma brecha que é capaz de fornecer senhas de root e chaves sigilosas, e já teria sofrido tentativas de exploração.

“Embora não tenhamos informações sugerindo que algum ator específico esteja visando instâncias de exemplo do ChatGPT, observamos essa vulnerabilidade sendo explorada ativamente na natureza. Quando os invasores tentam a identificação em massa e a exploração em massa de serviços vulneráveis, 'tudo' está no escopo, incluindo quaisquer plug-ins ChatGPT implantados que utilizam esta versão desatualizada do MinIO.”

GreyNoise

A confirmação da OpenAI veio quase uma semana após o ocorrido – e depois de ter sido descoberta pela GreyNoise. Segundo as investigações, a exposição de dados incluiu os títulos do histórico de bate-papo dos usuários ativos, bem como a mensagem inicial de conversas.

Além disso, a desenvolvedora revelou que informações de pagamentos também ficaram expostas, mas sem afetar 100% dos usuários. Os afetados incluem 1,2% da base de assinantes do ChatGPT Plus – o plano pago que permite benefícios como não ter fila de acesso e receber respostas mais rápidas.

Mesmo com o comunicado, a OpenAI não chegou a divulgar qual a quantidade de indivíduos prejudicados com o ocorrido. No entanto, além das 9 horas de exposição do dia 20 de março, a companhia não descarta que tenha acontecido vazamentos também em dias anteriores.

Quais dados foram vazados?

• Nome e sobrenome do usuário
• Endereço de e-mail
• Endereço de pagamento
• Data de validade do cartão de crédito
• Últimos 4 dígitos do número do cartão de crédito

É nítido que a segurança digital será uma preocupação ainda maior para os usuários do ChatGPT a partir deste momento, como deve ser no uso de qualquer serviço online. No entanto, como os usuários conseguem se prevenir de maiores problemas de exposição?

Dada a sequência de fatos durante o vazamento, alguns cuidados básicos podem ser tomados. Um deles é em relação à primeira mensagem enviada na conversa com o bot. Vale evitar colocar nela informações sensíveis, as quais não comprometem o usuário caso ocorra uma nova exploração no futuro.

Também vale utilizar cartão virtual – caso a sua emissora ofereça essa possibilidade – nas assinaturas da ferramenta – assim como em outros serviços. Assim, caso ele seja vazado, basta cancelá-lo e gerar outro número para ter tranquilidade que não acontecerá uso indevido no futuro.

A OpenAI informou em seu comunicado que tomou providências para evitar problemas futuros na área de cibersegurança. Veja as mudanças:

“Testamos exaustivamente nossa correção para o bug;

Foram adicionadas verificações redundantes para garantir que os dados retornados por nosso cache Redis [onde resultou o problema na biblioteca de código aberto] correspondam ao usuário solicitante;

Examinamos programaticamente nossos logs para garantir que todas as mensagens estejam disponíveis apenas para o usuário correto;

Correlacionamos várias fontes de dados para identificar com precisão os usuários afetados para que possamos notificá-los;

Aprimoramos o registro para identificar quando isso está acontecendo e confirmarmos se parou totalmente;

Aprimoramos a robustez e a escala do nosso cluster Redis aprimoradas para reduzir a probabilidade de erros de conexão em cargas extremas.”

OpenAI

E aí, qual é a sua avaliação sobre o vazamento de dados ocorrido no ChatGPT? Interaja conosco!