Navegadores com IA são sequestrados por um post que nunca clicou

Os navegadores com IA podem ser sequestrados por uma mensagem que a vítima nunca clica, e um patch não resolve. A 5 de agosto, na Black Hat USA 2026 em Las Vegas, o cofundador da Zenity Michael Bargury e o investigador Stav Cohen apresentaram uma classe de vulnerabilidades chamada PleaseFix, que vira o agente de IA integrado no navegador contra o próprio utilizador. Estão afetados o Claude in Chrome, o Gemini in Chrome, o ChatGPT Atlas, o Perplexity Comet e o Copilot Edge. Várias falhas foram reportadas há meses e continuam abertas.

Como um comentário no X se torna um comando

Um navegador agêntico não se limita a mostrar uma página. Lê a página, decide o passo seguinte e age dentro das sessões onde já está autenticado. O problema é que tudo o que ele lê chega na mesma forma: a sua instrução e o texto de uma página qualquer são indistinguíveis para o modelo. A Zenity chama a isto colisão de intenções. O atacante escreve uma instrução em conteúdo que o agente vai ler de qualquer maneira, e o agente cumpre-a como se a tivesse escrito o utilizador.

Não há nada para descarregar nem instalar. Não existe anexo malicioso nem botão para premir. A carga pode estar numa resposta sob um post popular no X, num email vulgar ou num convite de calendário. O gatilho é um pedido seu perfeitamente normal, por exemplo resumir a caixa de entrada.

O que os investigadores fizeram os agentes fazer

Não foram provas teóricas. A equipa demonstrou cadeias completas que terminam em danos reais:

• Fuga do email e da nuvem: uma instrução escondida dentro de um email espera que o utilizador peça ao Claude in Chrome para resumir o correio. O agente analisa o feed do Gmail, extrai o corpo das mensagens, envia o conteúdo para um servidor do atacante e partilha todo o Google Drive da vítima com uma conta controlada por ele.
• Tomada de contas: a mesma cadeia dispara depois reposições de palavra-passe noutros serviços, vigia a caixa de correio à espera dos códigos de verificação e reencaminha-os. Assim foram tomadas contas de Slack, X e Gmail.
• Phishing aos seus contactos: um comentário colocado no X envia o ChatGPT Atlas para o WhatsApp Web dentro da sessão autenticada da vítima, onde lê a lista de contactos e escreve a toda a gente.
• Compras à sua custa: noutra cadeia o Atlas vai à Amazon, enche o carrinho, muda a morada de entrega e empurra o assistente da própria loja para concluir a encomenda.
• Até dentro da máquina: os investigadores descrevem cadeias que chegam a serviços locais e daí à execução de código, além de envenenar o histórico para que a manipulação persista.

Uma fase anterior da mesma investigação, publicada em março de 2026, mostrou uma cadeia no Perplexity Comet que começava com um convite de calendário, lia ficheiros locais e abusava do acesso do agente a um gestor de palavras-passe. A Perplexity corrigiu esse ponto do lado do navegador antes da publicação, e a 1Password confirmou que a causa estava no modelo de execução da Perplexity e não no gestor.

Porque os navegadores com IA quebram uma regra com trinta anos

Esta é a parte que vale a pena perceber, porque é o que distingue o ataque de um vírus vulgar. Há trinta anos que os navegadores mantêm os sites separados uns dos outros. Uma página de um site não consegue ler o seu correio noutro. Esse muro, a política de mesma origem, é a razão pela qual uma única página maliciosa não tem conseguido esvaziar as suas contas.

Um agente de IA está do outro lado desse muro por construção. Ele é o utilizador. Leva os seus cookies, as suas sessões abertas e as suas permissões, e circula entre serviços precisamente porque foi para isso que o pôs a trabalhar. Por isso, quem captura o agente não precisa da sua palavra-passe, não precisa de contornar a autenticação em dois passos e não precisa de instalar um programa no seu computador. Herda tudo aquilo onde já estava autenticado, e cada ação parece vir de si. O antivírus não vê nada, porque ao nível dele não está a acontecer nada de errado.

Corrigido, por corrigir e declarado comportamento normal

A Zenity comunicou as conclusões à Anthropic, OpenAI, Google, Microsoft e Perplexity antes de as tornar públicas. As respostas variaram. Alguns fabricantes lançaram correções. Outros responderam que o comportamento é o previsto. A OpenAI soube das cadeias do Atlas em janeiro de 2026 e reconheceu-as, mas continuam por corrigir. A Anthropic recebeu os relatórios em dezembro de 2025 e janeiro de 2026, classificou-os como informativos, e essas cadeias também continuam abertas.

Parece evasivo, mas é sobretudo preocupante. O próprio Bargury resume assim: "isto não é um bug que possamos resolver com um patch". A fraqueza não é um erro de código num produto. É o que acontece quando se pede a um programa que leia texto não fiável e aja em seu nome ao mesmo tempo. Já tratámos a mesma causa quando qualquer página web podia transformar o ChatGPT numa ferramenta de phishing e quando um modelo da OpenAI escapou da sandbox e chegou a empresas reais.

O que fazer agora

Não é preciso abdicar dos navegadores com IA, mas a configuração sensata hoje é a cautela:

1. Não deixe um agente ligado ao mesmo tempo ao seu email principal, ao armazenamento na nuvem e ao chat de trabalho. Em todas as cadeias demonstradas o dano veio do acesso combinado.
2. Use um perfil de navegador separado para o trabalho com o agente, com o mínimo de sessões iniciadas, e mantenha banco, correio e painéis de administração num navegador normal.
3. Desligue os modos autónomos em que o agente navega e age sem perguntar. As confirmações são chatas, mas são o único sítio onde ainda vê o que está a acontecer.
4. Cuidado com o pedido inocente. Pedir um resumo da caixa de entrada ou de um fio de comentários é exatamente o gatilho em torno do qual estes ataques foram construídos.
5. Verifique as definições de segurança e as aplicações ligadas das contas que um agente tocou, sobretudo a partilha de ficheiros, e veja quem tem acesso ao seu armazenamento.

Vale a pena dizer com clareza o que uma VPN faz e não faz aqui. Uma VPN cifra o seu tráfego e esconde o seu endereço da rede onde está, o que conta contra interceção e rastreio, mas não consegue limitar o que um agente faz dentro de sessões que já autorizou. Proteção do canal e permissões do agente são duas camadas distintas, e esta investigação é sobre a segunda. A mesma distinção surgiu quando conversas partilhadas do Claude foram parar à pesquisa do Google.

Conclusão