ChatGPT Desktop encaminha seu agente SSH para servidores remotos — e o Codex pode fazer push como você

Um post na Hacker News desta semana levantou uma questão silenciosa, mas potencialmente séria, sobre a arquitetura de segurança do ChatGPT Desktop: quando você conecta o app a um servidor remoto via SSH, o agente de codificação Codex herdado pelo servidor tem acesso ao seu agente SSH local — o que significa que pode autenticar em seu nome em repositórios privados do GitHub e em qualquer servidor que confie nas suas chaves.

O que foi descoberto

A discussão ganhou tração na segunda-feira, 9 de novembro, quando o usuário DenGaborchev postou na Hacker News uma afirmação direta: «O agente executando em uma máquina remota pode autenticar usando suas credenciais SSH locais. Isso significa que pode fazer push para seus repositórios privados no GitHub, por exemplo». O link de «prova» era um comentário em uma revisão de código no repositório openai/codex (pull request #28131), feito pelo engenheiro da OpenAI abhinav-oai, descrevendo o flag `--forward-ssh-agent` e como o socket do agente era linkado a um caminho estável no disco (`~/.codex/app-server-control/forwarded-ssh-agent.sock`).

O que torna a questão mais interessante é que o pull request em questão foi fechado sem ser merged — o que levou comentaristas na HN a questionar a «prova». Porém, a PrivacyAffairs verificou na versão mais recente do macOS build (26.1103.60933, construída em 8 de novembro) que o comportamento existe de fato: o app não ativa o encaminhamento por conta própria, mas quando a configuração SSH do usuário (`~/.ssh/config`) já possui `ForwardAgent yes`, o app garante que o servidor de agente em background mantenha as chaves acessíveis ao Codex que roda no servidor remoto.

Como funciona tecnicamente

O ChatGPT Desktop, desde julho de 2026, integra o Codex — o agente de codificação da OpenAI — como parte de sua funcionalidade de desenvolvimento remoto. Nas configurações do app, o usuário adiciona um host remoto a partir de `~/.ssh/config`, e os chats naquele projeto leem arquivos e executam comandos no servidor. O app se conecta usando OpenSSH, conforme documentado.

O detalhe crítico, porém, não aparece na documentação da OpenAI. Toda vez que o app se conecta, executa uma linha de shell no servidor: se a sessão tem um socket de agente SSH vivo (`SSH_AUTH_SOCK`), ele o linka para `~/.codex/app-server-control/forwarded-ssh-agent.sock`. O servidor do app Codex, iniciado em background com `nohup`, tem seu `SSH_AUTH_SOCK` apontando para esse link. Todo comando que o agente executa herda essa variável de ambiente.

Enquanto o app está conectado, `git` e `ssh` no servidor podem autenticar com qualquer chave carregada no agente do seu computador. Isso é uma capacidade intencional, não um bug — usuários relataram em um bug report (issue #22567) que o Remote SSH ignorava `ForwardAgent` e quebrava `docker buildx build --ssh`. Em junho de 2026, o engenheiro Abhinav Vedmala propôs um flag `--forward-ssh-agent` no pull request #28131. O comportamento atual, embora o flag não esteja mais no branch principal do Codex, implementa a mesma funcionalidade por meio de um shell script próprio do app.

Por que isso importa mais com um agente de IA

A diferença entre um agente de IA e um script manual é que o agente lê instruções de texto — READMEs, issues de GitHub, comentários em pull requests. E a própria documentação de segurança da OpenAI alerta que «injeção de prompt pode fazer o agente buscar e seguir instruções não confiáveis». Um agente de codificação que lê um README envenenado ou uma issue tem a sua identidade em mãos para GitHub e para todo servidor que confia na sua chave.

Existe um freio: por padrão, o Codex roda com acesso de rede desligado e pergunta antes de comandos que precisam dele. Um `git push` espera pela sua aprovação. Esse prompt é a única proteção, e protege apenas na medida em que você o lê com atenção.

Os cenários mais expostos são exatamente os que a própria documentação do GitHub alerta contra: `ForwardAgent yes` sob `Host *`, que significa «você estaria compartilhando suas chaves SSH locais com todo servidor ao qual você faz SSH». Com o app da ChatGPT, você também as estaria compartilhando com a IA que trabalha nesses servidores.

Como verificar e desativar

A PrivacyAffairs recomenda duas verificações imediatas. Primeiro, verificar se um socket de agente forwarded existe para sua ferramenta de IA:

``` ls -la ~/.codex/app-server-control/ 2>/dev/null || echo "no codex agent socket" ```

Segundo, quais chaves poderiam ser assinadas neste momento:

``` ssh-add -l ```

Se a saída for «The agent has no identities.», nada para abusar. Se houver uma lista de fingerprints de chave, esses podem ser assinados, silenciosamente, por qualquer processo que compartilhe seu agente.

Para desativar o encaminhamento apenas para o app da ChatGPT, crie um alias específico com forwarding desligado, acima de qualquer bloco `Host *`:

``` Host devbox-chatgpt HostName devbox.example.com ForwardAgent no ```

Depois, adicione esse alias em Settings > Connections do app.

O padrão mais amplo

Essa não é a primeira vez que um agente de codificação levanta preocupações sobre gestão de credenciais. Na semana anterior, a Apiiro reportou que o Claude Code, com o default «Don't Ask Again» ativado, vazou chaves em mais de 1.100 repositórios. O problema subjacente é o mesmo: ferramentas de agente de IA padronizando para reutilização máxima de credenciais, quando a segurança por padrão deveria ser o mínimo necessário.

A fronteira entre o que o agente lê e o que o agente pode fazer continua se movendo. Historicamente, agentes de IA podiam ler seus arquivos e executar comandos autorizados. Agora, com o encaminamento do agente SSH, eles podem agir em seu nome — não apenas executando comandos, mas assinando commits, fazendo push para repositórios privados e autenticando em servidores como se fossem você. A questão é se o modelo de confiança implícita entre o usuário e o agente de IA é suficiente, ou se precisamos de uma camada adicional de verificação explícita para cada operação sensível que um agente executa com nossas credenciais.

Fontes: PrivacyAffairs, DEV Community, AI Weekly

✓ Fontes independentes cruzadas e verificadas antes da publicação