Acompanhe toda a atualidade informativa em 24noticias.sapo.pt

A investigação conduzida pela equipa da Check Point Research salientou que um único prompt malicioso podia transformar uma interação aparentemente normal com a plataforma num canal encoberto de fuga de dados. Informações sensíveis, incluindo dados introduzidos pelo utilizador, ficheiros carregados e até respostas geradas pela própria inteligência artificial, podiam ser transmitidas para fora da plataforma sem qualquer alerta visível.

O ataque explorava um canal de comunicação baseado em DNS, contornando os mecanismos tradicionais de proteção e os limites de segurança visíveis do sistema. Do ponto de vista do utilizador, a conversa decorria normalmente, enquanto os dados eram expostos de forma silenciosa.

A Check Point sublinha que a falha expõe um problema estrutural mais amplo: a confiança generalizada de empresas e utilizadores na segurança nativa das plataformas de inteligência artificial. "Ao contrário do que muitos assumem, estas ferramentas funcionam como ambientes completos de computação, com riscos ainda pouco compreendidos", refere a empresa.

A investigação destaca ainda a possibilidade de escalar o ataque através de GPTs personalizados. Nestes casos, bastava ao utilizador interagir com um modelo aparentemente legítimo para que dados pessoais ou sensíveis fossem recolhidos e enviados para servidores controlados por terceiros, sem qualquer ação suspeita por parte da vítima.

Segundo o estudo, o mesmo vetor de ataque poderia também permitir a execução remota de comandos no ambiente de execução do ChatGPT, elevando o risco de uma simples violação de privacidade para uma ameaça estrutural à própria plataforma.

O impacto é particularmente relevante em setores regulados como a saúde, os serviços financeiros ou a administração pública, onde uma fuga de dados pode traduzir-se em violações do Regulamento Geral sobre a Proteção de Dados (RGPD), incumprimento regulatório e danos financeiros e reputacionais.

Citado no comunicado, Eli Smadja, responsável de investigação da Check Point Research, afirma que “não podemos assumir que as ferramentas de IA são seguras por defeito”. “À medida que evoluem para ambientes completos de computação, as organizações precisam de visibilidade independente e de uma abordagem de segurança em múltiplas camadas”, acrescenta.

Apesar de a vulnerabilidade já ter sido corrigida, a Check Point defende que este caso deve ser encarado como um ponto de viragem na forma como as organizações abordam a segurança da inteligência artificial. A empresa recomenda a adoção de medidas como monitorização contínua dos fluxos de dados, prevenção de exfiltração, controlo de acessos e integração de gateways de segurança dedicados à IA, alertando que a reação a incidentes isolados não é suficiente para mitigar riscos futuros.

__

A sua newsletter de sempre, agora ainda mais útil

Com o lançamento da nova marca de informação 24notícias, estamos a mudar a plataforma de newsletters, aproveitando para reforçar a informação que os leitores mais valorizam: a que lhes é útil, ajuda a tomar decisões e a entender o mundo.

Assine a nova newsletter do 24notícias aqui.