Forense de memória em aplicações web de IA generativa: estudo de caso do ChatGPT

O artigo, publicado na Forensic Science International: Digital Investigation, uma das principais revistas revisadas por pares na área de perícia digital, aborda um problema que vem crescendo junto com a popularização de assistentes de IA generativa: como reconstruir evidências de uso de ferramentas como o ChatGPT quando o acesso se dá via navegador, sem instalação de aplicativo nativo e sem que o conteúdo das conversas fique necessariamente persistido em disco de forma óbvia. Não foi possível recuperar o texto integral do artigo (o ScienceDirect bloqueou o acesso automatizado com erro 403), de modo que esta análise é contextual, baseada no título, na revista e na prática usual desse tipo de pesquisa em forense de memória.

Tecnicamente, estudos desse tipo costumam seguir uma metodologia de aquisição de memória viva (RAM) do dispositivo — via ferramentas como Magnet RAM Capture, WinPmem, FTK Imager ou equivalentes — capturada durante ou logo após uma sessão de uso da aplicação web alvo, seguida de análise com ferramentas de string search, Volatility/Bulk Extractor ou parsing manual de estruturas do processo do navegador (Chrome, Edge, Firefox). O objetivo típico é localizar fragmentos de JSON de requisições/respostas de API, tokens JWT de sessão, IDs de conversa, e trechos de texto digitado ou recebido que ainda não foram sobrescritos pelo garbage collector do navegador ou do sistema operacional. Em aplicações de IA generativa como o ChatGPT, isso é particularmente relevante porque parte do estado da conversa é mantida em memória do processo (via WebSocket ou streaming de tokens) antes de ser persistida ou descartada, criando uma janela de recuperação que artefatos de disco tradicionais (cache do navegador, IndexedDB, localStorage) não cobrem sozinhos.

Esse tipo de achado importa na prática porque a perícia computacional em casos envolvendo uso indevido de IA generativa — geração de conteúdo fraudulento, engenharia social assistida por IA, extração de dados sensíveis via prompts, ou uso corporativo não autorizado de ferramentas de IA — frequentemente esbarra na volatilidade e na natureza client-side/cloud-hybrid dessas aplicações. Diferentemente de um software instalado localmente, uma aplicação web como o ChatGPT deixa poucos artefatos "clássicos" em disco, o que torna a memória RAM e os processos residuais do navegador uma fonte de evidência cada vez mais crítica para reconstruir o que foi digitado, perguntado ou gerado, mesmo quando o histórico foi apagado pelo usuário na interface ou a conta foi desconectada.

Para o profissional de perícia, o valor desse tipo de estudo está em formalizar um protocolo replicável — quais estruturas de memória procurar, com que ferramentas, e com que taxa de sucesso de recuperação em diferentes cenários (sessão ativa, sessão recém-encerrada, após reinicialização do navegador) — algo que hoje é frequentemente feito de forma ad hoc por peritos individuais. Isso é especialmente relevante à medida que IA generativa se torna vetor recorrente em investigações corporativas e criminais, e a comunidade forense ainda carece de guias consolidados equivalentes aos já existentes para forense de navegador e de aplicativos de mensagens.