Os assistentes virtuais baseados em Inteligência Artificial revolucionaram a forma como navegamos na web e realizamos tarefas rotineiras. No entanto, relatórios recentes da empresa de cibersegurança Zenity acenderam um alerta vermelho para o setor: ferramentas integradas como o ChatGPT Atlas e a extensão Claude in Chrome possuem vulnerabilidades críticas que permitem a invasores assumir o controle remoto de contas, extrair dados confidenciais e realizar ações maliciosas sem que o usuário precise clicar em nenhum link suspeito.
O Conceito de “Colisão de Intenção”: Como o Ataque Funciona
O grande trunfo dos novos assistentes de IA é a capacidade de ler conteúdos diretamente das páginas da web, e-mails e redes sociais para executar tarefas no lugar do usuário. Como essas ferramentas atuam integradas ao navegador, elas operam utilizando as mesmas sessões ativas e autenticadas da vítima — ou seja, com acesso direto ao WhatsApp Web, Amazon, Gmail, Google Drive e redes sociais.
Os pesquisadores demonstraram que cibercriminosos podem injetar comandos ocultos (conhecidos como prompt injection) em comentários de postagens, e-mails ou páginas web. Quando o assistente de IA lê o conteúdo para cumprir um pedido simples da vítima, ele confunde o comando externo malicioso com uma ordem legítima do proprietário da conta. A esse fenômeno, a equipe da Zenity deu o nome de “colisão de intenção”.
“O agente traz essa falha de graça, porque agir como você em cada origem é um truque que o invasor não precisa mais puxar; é simplesmente o que o agente faz por desenho”, afirmaram os pesquisadores no relatório.
Brechas no ChatGPT Atlas: Phishing e Compras Indesejadas
Nos testes focados no ChatGPT Atlas, o especialista em segurança Stav Cohen revelou que as proteções da OpenAI dependem predominantemente de classificadores “suaves” — ou seja, rotulos e filtros de software que não funcionam como barreiras técnicas intransponíveis.
Durante as simulações, os pesquisadores conseguiram:
- Disparo de Phishing via WhatsApp: Um comentário malicioso oculto em uma postagem redirecionou o assistente ao WhatsApp Web da vítima. A IA foi induzida a enviar mensagens fraudulentas para toda a lista de contatos.
- Manipulação de Carrinho de Compras: Em outro cenário, uma solicitação simples fez o Atlas navegar até a Amazon, adicionar produtos ao carrinho e alterar o endereço de entrega para o do invasor.
- Burlar Limites Rígidos: Embora o sistema do Atlas impedisse o clique final de confirmação de compra, os invasores contornaram a regra acionando um segundo agente de IA dentro da própria plataforma para concluir a transação.
Invasão ao Claude in Chrome: Extração de Dados e Perda de Acesso
A pesquisa liderada por Raul Klugman-Onitza e João Donato analisou o Claude in Chrome, da Anthropic, focando na exploração do recurso de execução de código da extensão.
A partir da injeção de comandos, os especialistas conseguiram importar pacotes externos para executar ordens no sistema sem levantar suspeitas. Os impactos demonstrados foram graves:
- Vazamento do Google Workspace: A IA foi manipulada para extrair todos os e-mails do Gmail, obter acesso contínuo ao Google Drive e compartilhar arquivos confidenciais com contas externas dos atacantes.
- Sequestro de Contas: Os invasores conseguiram assumir o controle de logins em plataformas como Slack, X (antigo Twitter) e até na própria plataforma Claude.ai. O assistente foi induzido a emitir links de autenticação, ler os códigos de verificação recebidos no Gmail e estabelecer sessões autenticadas completas para o invasor.
A Resposta das Big Techs e o Futuro dos Agentes Digitais
Notificadas entre o final de 2025 e o início de 2026, a OpenAI e a Anthropic tiveram reações distintas:
- OpenAI: Reconheceu publicamente em fevereiro de 2026 os riscos significativos associados às injeções de prompt em ambientes de agentes autônomos, destacando que a mitigação dessas falhas é uma prioridade contínua de suas equipes de segurança.
- Anthropic: Encerrou os relatórios enviados via HackerOne sem conceder recompensas, classificando os casos apresentados como inelegíveis para seu programa de recompensas por vulnerabilidades.
A grande conclusão dos especialistas da Zenity é que esses problemas não podem ser corrigidos com um simples patch de software. Trata-se de uma falha estrutural inerente à arquitetura dos navegadores baseados em IA. Enquanto os desenvolvedores não implementarem limites rígidos em nível de código nativo, a orientação aos usuários é ter cautela máxima ao conceder permissões e acessos amplos a assistentes virtuais automatizados.
