Por que ler estes casos
É fácil achar que "vazamento de dados" é coisa que só acontece com os outros, ou que exige um hacker genial. Os casos abaixo mostram o contrário: vazar não é hipótese, é rotina. Na maioria das vezes o estrago veio de um gesto banal — colar um trecho de código, instalar uma extensão que "melhora o ChatGPT", abrir um e-mail, visualizar uma planilha.
Cada caso conta o que aconteceu, como aconteceu e o que aprender com ele. Eles estão divididos em três grupos, conforme onde a falha nasceu: (a) falhas nos próprios provedores de IA; (b) extensões e plugins comprometidos, hoje o vetor que mais cresce; e (c) assistentes de IA dentro de planilhas e e-mail, especialmente relevante para quem usa Microsoft 365 Copilot e similares.
As regras de comportamento seguro estão no Guia de Uso Seguro de IA; aqui a ideia é mostrar, com fatos, por que elas existem.
a) Falhas e vazamentos nos próprios provedores de IA
Samsung × ChatGPT2023
A Samsung liberou o ChatGPT para seus engenheiros de semicondutores e, em menos de 20 dias, registrou três incidentes: um engenheiro colou código-fonte interno para corrigir um erro, outro colou código para otimizá-lo e um terceiro enviou a ata de uma reunião pedindo um resumo.
O problema é que, na conta padrão, o ChatGPT retém o que você digita e pode usar para treinar o modelo — então aquele código e aquela ata saíram do controle da empresa, sem volta. A Samsung reagiu banindo IA generativa nos dispositivos corporativos e limitando o tamanho dos prompts. Fica claro o aprendizado: pedir ajuda com "só um trecho de código" ou "só uma ata" já é vazamento quando se usa um chatbot público ou conta pessoal — para trabalho, vale uma conta corporativa aprovada e com o treinamento desligado.
DeepSeek — banco de dados expostojan/2025
Aqui o usuário não fez nada de errado — quem escorregou foi o provedor. A Wiz Research encontrou um banco de dados da DeepSeek totalmente aberto na internet, sem nenhuma senha, com mais de 1 milhão de linhas de log: histórico de conversas de usuários, chaves secretas e detalhes internos do sistema.
O banco foi fechado cerca de uma hora depois do aviso, mas ninguém sabe por quanto tempo ficou exposto antes disso, e o episódio gerou investigações na Itália, na Irlanda e nos EUA. É o lembrete de que, mesmo quando você faz tudo certo, o provedor pode deixar a porta aberta — por isso a escolha da ferramenta importa, e serviços com política de dados duvidosa não deveriam receber nada sensível.
Fontes: Wiz Blog · CSO Online
ChatGPT indexado no Googlejul/2025
A OpenAI tinha um recurso para compartilhar uma conversa por link, com uma opção de "tornar esta conversa detectável". Muita gente marcou sem perceber que aquilo autorizava o Google a indexar o conteúdo.
O resultado foram milhares de conversas privadas — algumas com nomes, dados de empresas e até informações de saúde — aparecendo numa busca simples. As pessoas achavam que só guardavam um link para si mesmas, mas estavam publicando para o mundo, e a OpenAI acabou removendo o recurso. O recado é direto: "compartilhar conversa" pode significar "publicar", então nunca compartilhe uma conversa que contenha dado interno.
Fonte: TechTudo
OpenAI × Mixpanelnov/2025
A Mixpanel, empresa de analytics que prestava serviço à OpenAI, foi atacada e expôs nomes e e-mails de quem usa a API da OpenAI. Senhas, métodos de pagamento e o conteúdo dos chats não foram afetados.
O ponto é a corrente de confiança: você confia na OpenAI, mas ela depende de dezenas de outros fornecedores, e a corrente arrebenta no elo mais fraco — muitas vezes um terceiro de que você nunca ouviu falar. Quanto menos dado você entrega, menor a exposição quando um desses fornecedores é invadido.
Fontes: Athena Security · Olhar Digital
HackedGPT — vulnerabilidades no ChatGPT-4o e GPT-5nov/2025
Pesquisadores da Tenable encontraram sete vulnerabilidades no ChatGPT-4o, algumas ainda presentes no GPT-5. Juntas — batizadas de "HackedGPT" — permitiam burlar as proteções da ferramenta e extrair dados pessoais, o histórico de conversas e as "memórias" que o usuário tinha salvado ao longo do tempo.
É o lado delicado da memória da IA: pensada para deixar as respostas mais úteis, ela acumula informação sensível num só lugar e, por isso mesmo, vira um alvo atraente. Vale desligá-la ao tratar de assuntos sensíveis e nunca guardar nela segredos, credenciais ou dados de clientes.
Fonte: CNN Brasil
Claude Code usado em ataque orquestradoset/2025 – fev/2026
A Anthropic detectou um grupo estatal (com alta confiança, chinês) usando o Claude Code de forma agêntica — com a IA executando passos por conta própria — para invadir cerca de 30 alvos no mundo, com sucesso em alguns casos. Numa campanha paralela contra agências mexicanas, cerca de 75% dos comandos foram gerados e executados pela própria IA.
É o outro lado da moeda: a mesma capacidade de "a IA faz sozinha" que economiza horas pode ser apontada como arma nas mãos erradas. Uma IA com muitos acessos é poderosa demais para ficar sem limites — daí a importância de restringir permissões e manter registro do que ela faz.
b) Vazamentos causados por extensões e plugins vetor em alta
Extensões do Chrome roubando conversasdez/2025 – jan/2026
Duas extensões que se vendiam como "ChatGPT melhorado" e "barra lateral de IA" — uma com 600 mil usuários, outra com 300 mil — funcionavam de verdade, mas em segundo plano enviavam, a cada 30 minutos, todas as conversas e todas as URLs abertas para um servidor controlado pelos atacantes.
Como muitas URLs carregam tokens de sessão, dava para sequestrar contas já logadas sem precisar da senha, e mais de 900 mil pessoas foram afetadas. Uma extensão "que funciona" pode estar espionando ao mesmo tempo — por isso vale preferir o site oficial sem extensão no meio e desconfiar de permissões como "ler e alterar dados em todos os sites".
Fontes: The Hacker News · SecurityWeek · Malwarebytes
MaliciousCorgi — extensões falsas no VS Codejan/2026
Duas extensões falsas no marketplace do VS Code — "ChatGPT - 中文版" (1,34 milhão de instalações) e "ChatGPT - ChatMoss/CodeMoss" (151 mil) — capturavam cada arquivo aberto e cada alteração feita pelo desenvolvedor e mandavam tudo para servidores na China.
As duas usavam o mesmo código malicioso sob publishers diferentes, um truque clássico de imitar nomes legítimos para enganar quem digita "ChatGPT" na busca e instala o primeiro resultado. Marketplace é aberto e nome parecido não garante nada: o seguro é instalar apenas do publisher oficial verificado — equipes técnicas têm orientações próprias na Política de TI.
Fontes: The Hacker News · TechRadar · BleepingComputer
Nx Console comprometida — 3.800 repositórios do GitHubmai/2026
A extensão legítima Nx Console (2,2 milhões de instalações) teve uma versão maliciosa publicada que varria a máquina do desenvolvedor coletando tokens de GitHub, npm, AWS, HashiCorp Vault, Kubernetes e 1Password — e mirava especificamente os arquivos de configuração do Claude Code.
O resultado foram 3.800 repositórios privados do GitHub exfiltrados, inclusive de funcionários do próprio GitHub. É um ataque de cadeia de suprimentos: em vez de invadir cada vítima, comprometem uma ferramenta em que todos confiam e atingem a base inteira de uma vez. Credenciais espalhadas pela máquina são um prato cheio para malware — daí guardar segredos no Bitwarden, nunca soltos no projeto.
Fontes: BleepingComputer · VentureBeat
Segredos vazados em extensões do marketplace2025
A Wiz varreu o marketplace do VS Code e achou mais de 550 segredos válidos em mais de 500 extensões, de centenas de publishers diferentes. Em mais de 100 casos eram tokens de publicação — aqueles que permitem subir uma nova versão da extensão.
Ou seja, qualquer atacante que achasse esse token poderia empurrar uma versão maliciosa para toda a base já instalada, automaticamente; e nem foi um ataque sofisticado, foi descuido dos próprios autores ao deixar chaves dentro do pacote publicado. Reforça a regra mais básica de todas: segredo dentro do código vaza, então nunca embuta chaves num projeto — inclusive nos que você mesmo criar.
Fonte: Wiz
Claude Desktop / MCP — execução remota via Google Calendarfev/2026
Pesquisadores da LayerX mostraram que extensões do Claude Desktop rodavam sem isolamento e com privilégios totais no computador. Um evento de Google Calendar com instruções escondidas no texto, combinado a um pedido inocente como "cuide da minha agenda", fazia a IA confundir essas instruções com uma ordem do usuário e executá-las.
Isso virou execução de código na máquina sem nenhum clique extra — a nota máxima na escala de gravidade. É o retrato da injeção indireta de prompt: conteúdo externo vira comando. Por isso convém tratar tudo que a IA traz de fora (e-mail, evento, página) como não confiável e só habilitar integrações com aprovação da TI e o acesso mínimo necessário.
Fontes: LayerX · The Register · Infosecurity Magazine
Claude Code — execução remota via arquivos de projeto (CVE-2025-59536)2025–2026
Pesquisas da Check Point e da Datadog mostraram que clonar um repositório malicioso e abri-lo no Claude Code já bastava para executar comandos arbitrários e roubar a chave da API Anthropic.
O truque era o projeto declarar servidores MCP e variáveis de ambiente no próprio repositório, carregados automaticamente ao abrir — então abrir o projeto já era rodar o que o atacante havia preparado, antes mesmo de você escrever qualquer comando. A lição é tratar um repositório desconhecido como entrada não confiável, do mesmo jeito que se trata um anexo de e-mail estranho.
Fontes: Check Point Research · Datadog Security Labs
c) Vazamentos em assistentes integrados a planilhas e e-mail Microsoft 365
EchoLeak — Microsoft 365 Copilot (CVE-2025-32711)jun/2025
Pesquisadores da Aim Labs descobriram a primeira vulnerabilidade "zero-click" documentada numa IA de produção. Bastava enviar à vítima um e-mail comum, com instruções escondidas em Markdown, invisíveis a olho nu.
Quando a pessoa depois pedia ao Copilot algo banal como "resuma meus e-mails de hoje", ele lia o e-mail malicioso, seguia as instruções escondidas e exfiltrava conteúdo de planilhas, e-mails e arquivos do SharePoint da empresa. Só de receber um e-mail, sem clicar em nada, você já podia ser o alvo — porque a IA enxerga tudo a que você tem acesso. Vale conferir os cuidados de planilhas no guia.
Fontes: Varonis · Checkmarx · Dark Reading
Excel + Copilot Agent — CVE-2026-26144mar/2026
Uma falha crítica no Excel fazia com que apenas visualizar uma planilha maliciosa no painel de preview do Outlook — aquele que abre sozinho quando você seleciona um e-mail — já acionasse o Copilot Agent a vazar dados sensíveis por uma rota de rede não prevista, sem nenhum clique do usuário.
Mostra que cada novo recurso de IA colado a um produto muito usado cria um vetor de ataque que antes não existia. Manter o Office e o Workspace atualizados deixou de ser opcional, e planilhas de origem desconhecida merecem desconfiança mesmo sem abrir o arquivo, já que o preview pode agir por você.
Fontes: The Register · TechRadar
Copilot acessando e-mails confidenciais — bypass de DLPjan/2026
Um bug no Microsoft 365 Copilot deixava o assistente ignorar as políticas de DLP — as regras que impedem dados de saírem — e ler o conteúdo das pastas "Enviados" e "Rascunhos" mesmo quando a empresa proibia.
O detalhe estrutural é que os controles de segurança já existentes não previam uma IA buscando dados por um caminho novo. Não dá para presumir que "a empresa já bloqueia isso" — é justamente por isso que integrações de IA precisam passar pela revisão da TI antes de serem ligadas.
Fonte: Cybernews
O fio que liga todos os casos
Apesar de variados, esses incidentes repetem poucos padrões. O que entra na IA pode sair: código, atas e planilhas colados numa ferramenta saem do seu controle. Confiar na ferramenta não basta, porque o provedor, um fornecedor dele ou uma extensão podem ser o elo fraco. Conteúdo externo vira comando: e-mails e eventos com instruções escondidas já levaram a execução remota sem um único clique. E, no fim, menos acesso sempre significa menos estrago.
Cada uma dessas ideias já está traduzida em regras práticas no Guia de Uso Seguro de IA e no seu checklist final. Esta página existe para lembrar por que elas importam.