Navegador do ChatGPT faz login nas contas: o que muda na segurança

A partir de 25 de agosto, o navegador em nuvem do ChatGPT (ChatGPT Work) passou a aceitar login em sites protegidos por senha, com a promessa de que o modelo nunca vê suas credenciais. A autenticação é feita em um formulário seguro que vai direto para o navegador remoto; antes disso, um modelo de revisão checa riscos de phishing

O ponto que pouca gente está lendo em conjunto é: depois do login, a sessão autenticada fica nos servidores da OpenAI e, segundo a própria documentação, “a autenticação persistirá para tarefas futuras até expirar”. Em outras palavras, o cookie de sessão que mantém você logado passa a viver na infraestrutura da OpenAI, não no seu dispositivo.

Isso é intencional e útil para automações, mas muda o modelo de ameaça: a fronteira de segurança deixa de ser “a OpenAI não retém credenciais” e vira “a OpenAI retém um token de sessão ativo para sua conta”.

Como funciona o login no navegador do ChatGPT

• Quando o agente encontra uma página de login, ele pausa e exibe um formulário seguro no chat.notebookcheck+1
• Você digita usuário, senha e, se necessário, código 2FA diretamente nesse formulário.macstories+1
• As credenciais vão direto para o navegador remoto; o modelo não as vê, não as armazena e não as usa para treinamento.notebookcheck+2
• Após o login, o navegador em nuvem guarda cookies e estado de sessão, como um navegador comum, mas rodando nos servidores da OpenAI.macstories+2
• Você pode limpar esses dados por site ou globalmente em “Browser data” nas configurações.notebookcheck+1

Tecnicamente, a senha some do jogo; o que sobra é um cookie de sessão persistente que concede acesso à conta sem precisar novamente da senha nem do segundo fator, enquanto não expirar.notebookcheck+2

Automações agendadas: quando o agente roda “sem supervisão”

Aqui entra a segunda peça que pouca gente conecta: a documentação de automations da OpenAI.

• Tarefas agendadas podem usar approval_policy = "never" quando a política da organização permite.
• A mesma documentação afirma que tarefas agendadas “rodam sem supervisão” e usam as configurações padrão de sandbox.
• Se um administrador proibir esse modo, as tarefas voltam ao modelo de permissão selecionado; caso contrário, o caminho orientado a eventos roda com aprovações desativadas por padrão.

A OpenAI não escreve em uma única frase: “sessão persistente + tarefa agendada sem supervisão”. Mas as duas metades estão lá, em páginas diferentes, e a combinação é tecnicamente possível dentro do produto.notebookcheck+1

Por que isso importa para o modelo de ameaça

O que muda não é cada recurso isolado, mas a composição:

• O ChatGPT Work agora combina:
  • sessões web autenticadas persistentes no navegador em nuvem;notebookcheck+2
  • gatilhos de eventos (webhooks) de Gmail, Slack, GitHub etc.
  • e a possibilidade de tarefas agendadas rodando sem supervisão (approval_policy = "never").

Esses gatilhos são superfícies onde um agente externo pode escrever:

• e-mails de entrada filtrados por remetente/assunto;
• mensagens em canais do Slack;
• títulos e descrições de pull requests no GitHub.

Uma prompt injection inserida em um e-mail ou no título de um PR pode, em tese, alcançar uma tarefa que:

• roda em um cronograma;
• dentro de uma sessão autenticada no navegador em nuvem;
• com aprovações desativadas por padrão.labs.zenity+2

Pesquisas recentes já mostraram ataques de injeção de prompt indireta capazes de redirecionar agentes como o Atlas (antigo navegador agêntico do ChatGPT) a realizar ações não autorizadas em sessões autenticadas.labs.zenity+2

O que a OpenAI diz (e o que não diz)

Para ser preciso:

• A OpenAI não afirma explicitamente que “sessão persistente no navegador + tarefa agendada sem supervisão” é um comportamento end-to-end testado e divulgado como tal.
• O que existe são:
  • a garantia de que a autenticação no navegador “persistirá para tarefas futuras até expirar”;notebookcheck+1
  • e a descrição de que automations agendadas podem rodar com approval_policy = "never" e “sem supervisão”

A leitura conjunta é nossa, mas baseada em trechos reais da documentação.notebookcheck+1

Implicações práticas para empresas e times de TI

Se sua empresa usa ou planeja usar ChatGPT Work com automações:

• Entenda que o ativo crítico deixa de ser apenas a senha e passa a ser a sessão ativa mantida na nuvem da OpenAI
• Revise as políticas de automação:
  • permita approval_policy = "never" apenas para fluxos de baixo risco;
  • exija aprovação humana para ações que envolvam dados sensíveis, transações ou mudanças de configuração.
• Use o controle de “Browser data” para:
  • limitar quais sites podem ter sessão persistente;
  • limpar sessões após tarefas críticas.
• Trate webhooks de Gmail, Slack e GitHub como superfícies de entrada potencialmente hostis:
  • filtre por remetentes/domínios confiáveis;
  • evite usar conteúdo não confiável (assuntos, corpos de e-mail, descrições de PR) como instruções diretas para o agente.