Estudo: 21 de 42 chatbots de IA vazam conversas a rastreadores
A medição instrumentou o navegador no nível do motor JavaScript para atribuir cada fluxo de dados à ação que o disparou. Em 11 das 13 plataformas com vazamento de contexto, o e-mail do usuário seguia pela mesma rota, permitindo reidentificação. Google e Meta concentram o recebimento.
Imagem editorial original gerada para o Plugged Ninja. Arte abstrata, sem texto.
Um estudo acadêmico submetido ao arXiv em 27 de outubro de 2026 auditou as interfaces web de 42 plataformas de chatbot de IA e encontrou vazamento sistemático de conteúdo de conversas para rastreadores de terceiros. Em 21 delas, o título da conversa — gerado automaticamente a partir da primeira mensagem do usuário — era enviado a domínios de rastreamento. Em nove, o próprio texto digitado pelo usuário seguia literalmente para terceiros. E na maioria dos casos em que havia vazamento de contexto, o endereço de e-mail do usuário também era enviado, permitindo associar o que foi conversado a uma pessoa identificada.
O trabalho, intitulado “Penny for Your Prompts: A Measurement Study of Contextual Leakage in AI Chat Platforms”, é assinado por Paschalis Bekos, Billy Tsouvalas, Nick Nikiforakis e Michalis Polychronakis, e está programado para apresentação no IEEE Symposium on Security and Privacy de maio de 2027 — a conferência de maior peso da área. Os autores descrevem o estudo como a primeira medição sistemática em larga escala desse tipo de vazamento.
O achado não envolve invasão nem falha de software. Envolve a prática corriqueira de instalar em uma interface de chatbot os mesmos scripts de análise, publicidade e gravação de sessão que se usam em qualquer site comercial — ferramentas que, por desenho, capturam títulos de página e elementos do DOM. Em um site de comércio, isso significa coletar o nome de um produto. Em um chatbot, significa coletar o que o usuário escreveu.
Como a medição foi feita
A seleção cobriu 25 plataformas de uso geral, escolhidas por rankings públicos de popularidade, e 17 plataformas de uso específico em três domínios deliberadamente sensíveis: educação, saúde e assistência jurídica. O critério de inclusão foi oferecer interface web com cadastro gratuito.
A contribuição metodológica está na granularidade. Além da interceptação de tráfego de rede — padrão em estudos de privacidade web —, os pesquisadores instrumentaram o navegador no nível do motor JavaScript. Isso permitiu atribuir cada fluxo de dados à ação exata do usuário que o disparou e ao mecanismo de captura de DOM usado para obter o conteúdo. É uma visibilidade que a análise de rede sozinha não oferece: ver o pacote sair é diferente de saber que ele saiu porque o usuário apertou Enter e que o conteúdo foi lido do elemento que exibe o título da conversa.
As limitações estão declaradas pelos próprios autores e precisam acompanhar qualquer leitura dos números. As medições foram feitas entre 6 e 20 de maio de 2026, variando apenas o e-mail de cadastro — ou seja, descrevem o estado das plataformas naquele período, e implantações de rastreadores mudam. Foi usado um único ponto de observação na costa leste dos Estados Unidos, com o consentimento de rastreamento aceito; o estudo portanto não avalia se as plataformas respeitam a recusa de consentimento nem como as implantações variam entre jurisdições. E ficaram fora as camadas pagas e os aplicativos móveis.
Os números
Nas 25 plataformas de uso geral, cada interação de prompt gerava, em média, 540 requisições de saída, das quais 118 — 22% — iam para domínios de rastreamento conhecidos. Foram identificados 153 domínios rastreadores distintos no conjunto, com uma média de 13 por sessão.
Treze dessas 25 plataformas enviavam o título da conversa a um rastreador. Em volume, You.com e Genspark lideram, com 62 e 40 requisições contendo o título por prompt, respectivamente, dirigidas ao Google. Considerando o vazamento de texto integral — título ou prompt —, o Google acumula 230 requisições distintas com conteúdo de conversa, distribuídas por oito plataformas; a Meta vem em seguida, com cerca de 55 requisições, no mesmo número de plataformas. A ByteDance aparece em terceiro, puxada principalmente pelo vazamento de títulos no Kimi, seguida por X (Twitter) e Microsoft, com menos de 15 requisições cada.
A reidentificação é o elo que transforma o problema em risco concreto. Das 13 plataformas que vazavam contexto, 11 também enviavam o e-mail do usuário a rastreadores. Em oito delas, uma mesma empresa recebia tanto a conversa quanto a identidade. Em duas — Writesonic e You.com —, o e-mail e o conteúdo da conversa aparecem na mesma requisição de saída, o que torna a associação direta e observável; em outras, a ligação se dá por cookie persistente compartilhado entre as requisições.
Nas 17 plataformas de uso específico, o cenário é pior em proporção. Foram registradas 5.046 requisições destinadas a rastreadores, abrangendo 106 domínios distintos. A média por prompt caiu para 353 requisições de saída, mas a fração que chega a rastreadores subiu para 140, ou 39,7%. A proporção é praticamente uniforme entre as três categorias: 38,5% em educação, 41,6% em saúde e 41,1% em jurídico. Entre as plataformas nomeadas no estudo com vazamento de contexto e e-mail estão AI Lawyer, SciSpace, Chaton, DeepSeek, Manus, ZenoChat, Kimi e PolyBuzz, com destinatários que incluem Google, Meta, Microsoft, ByteDance, Amplitude, Mixpanel e Intercom.
Um detalhe de implementação merece registro: nas três categorias de uso específico, o conteúdo da conversa — título ou prompt — era transmitido em texto claro. O e-mail, por sua vez, recebia tratamento menos uniforme, com alguma codificação em parte dos casos. Vale dizer: a plataforma protege o identificador e expõe o conteúdo.
O que dizem as políticas de privacidade
Os autores examinaram as políticas de privacidade e de cookies das plataformas em que identificaram vazamento. O padrão encontrado é o de notificações escritas para a web tradicional: elas informam que os frameworks de análise coletam dados de navegação do usuário dentro da plataforma, cobrindo visualizações de página, eventos de clique ou duração de sessão.
Em vários casos, segundo o estudo, as plataformas afirmam explicitamente que não vendem nem compartilham dados do usuário para fins de publicidade direcionada — e, ao mesmo tempo, os pesquisadores observaram pixels de publicidade e análise de terceiros em operação nas interfaces, coletando contexto conversacional. Os autores interpretam a discrepância como indício de que as plataformas podem não compreender plenamente o que suas próprias integrações capturam. É uma leitura plausível e menos acusatória do que a alternativa, mas a consequência para o usuário é idêntica nos dois casos.
Por que isso é diferente do rastreamento web comum
O argumento central do artigo é uma incompatibilidade de pressupostos. Scripts de rastreamento foram projetados para sites em que os componentes estruturais que eles capturam — título da página, URL — descrevem interações genéricas, como a visualização de um produto. Aplicados a um chatbot sob a mesma configuração padrão, esses mesmos mecanismos recolhem componentes que codificam o conteúdo da conversa: o prompt do usuário e o título gerado dinamicamente a partir dele.
A diferença não é de grau. Os metadados de uma sessão de chat não são informação genérica de página — são reflexo direto do que o usuário revelou. A conclusão dos autores é operacional: plataformas de chatbot não devem ser tratadas como sites tradicionais ao configurar integrações de rastreamento de terceiros, e instalar análise convencional nessas interfaces deve ser classificado como risco de privacidade, não como decisão neutra de produto.
O problema também não é inédito em espécie. Estudos de medição de privacidade web já documentaram, desde 2017, que scripts de gravação de sessão capturam digitação e dados pessoais em formulários — a série “No boundaries”, publicada em 2017 por pesquisadores do Center for Information Technology Policy de Princeton, é a referência clássica. O que mudou é o que está sendo digitado: sintomas, situações jurídicas, dificuldades de aprendizagem, questões íntimas.
Impacto para o usuário e para quem implanta IA
Para o usuário brasileiro, o conteúdo de uma conversa com um chatbot associado a um e-mail é dado pessoal nos termos da Lei Geral de Proteção de Dados. Quando esse conteúdo trata de saúde, enquadra-se como dado pessoal sensível pelo artigo 5º, inciso II, da lei, e seu tratamento depende das hipóteses restritas do artigo 11, entre elas o consentimento específico e destacado. Relatos de situação jurídica não constam da lista de dados sensíveis, mas seguem sendo dado pessoal cuja exposição produz dano concreto. Um pixel de publicidade recebendo um relato de sintoma, com o e-mail do titular na mesma requisição, é exatamente o cenário que a lei trata com mais rigor — e nada nos resultados sugere que as plataformas tenham tratado esses fluxos como tal.
Para empresas que adotam chatbots de terceiros em processos internos, o estudo tem uma consequência prática imediata: o risco não está apenas no provedor do modelo, e sim na interface web pela qual o funcionário conversa. Uma avaliação de fornecedor que examine só a política de uso de dados do modelo e ignore os scripts de terceiros carregados na página deixa de fora o caminho de saída efetivamente observado aqui.
Três ressalvas honestas, para não exagerar o alcance: o estudo não mostra que os rastreadores usaram esses dados para segmentação publicitária, apenas que os receberam; os números descrevem maio de 2026 e algumas plataformas podem já ter mudado suas integrações; e a medição foi feita com consentimento aceito, cenário que maximiza o carregamento de rastreadores. Nenhuma dessas ressalvas reduz o achado estrutural — as ferramentas capturam o que está no DOM, e no chatbot o que está no DOM é a conversa.
Conclusão
O que o estudo demonstra, com método verificável e revisão por pares a caminho, é que a expectativa de privacidade que o usuário deposita em uma conversa com um chatbot não corresponde ao que acontece na camada web dessas plataformas. O vazamento é sistêmico, atinge metade da amostra, concentra-se nas duas maiores empresas de publicidade digital do mundo e vem acompanhado da identidade do usuário na maioria dos casos.
Para o leitor, a mitigação disponível é modesta e vale aplicar: bloqueadores de rastreadores no navegador reduzem o canal, recusar o consentimento de cookies não essenciais reduz o carregamento, e informação sensível não deveria ser digitada em plataformas gratuitas de uso geral. Para as plataformas, a correção é trivial do ponto de vista técnico — configurar os scripts para não capturar título e conteúdo do DOM da conversa — e depende apenas de reconhecer que uma interface de chat não é uma vitrine de produto. O que observar a seguir é se alguma das plataformas nomeadas ajusta suas integrações antes da apresentação do trabalho, em maio de 2027.
Fontes e referências
- Paschalis Bekos, Billy Tsouvalas, Nick Nikiforakis e Michalis Polychronakis — Penny for Your Prompts: A Measurement Study of Contextual Leakage in AI Chat Platforms (arXiv:2610.37467, submetido em 27 de outubro de 2026; a publicar no IEEE Symposium on Security and Privacy, maio de 2027)
- Steven Englehardt, Gunes Acar e Arvind Narayanan — No boundaries: Exfiltration of personal data by session-replay scripts (CITP Blog, Universidade de Princeton, 15 de novembro de 2017)
- Brasil — Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais)
