Claude in Chrome e ChatGPT Atlas: comentário na internet vira comando

Claude in Chrome e ChatGPT Atlas entraram na mira de dois relatórios da empresa de segurança Zenity. Os pesquisadores mostraram algo incômodo para quem constrói software. Assistentes que navegam pela web podem ser sequestrados por um texto plantado em um email ou em uma postagem. Além disso, a vítima nunca precisa clicar em nada suspeito. Portanto, o velho conselho de “cuidado com o link” perdeu boa parte da utilidade.

O motivo é estrutural. O agente lê conteúdo da internet e age no lugar do usuário. Enquanto isso, ele reaproveita as mesmas sessões já autenticadas no navegador. Ou seja, o invasor herda o login sem roubar nenhuma senha.

Colisão de intenção: o nome técnico para “o agente confundiu quem mandou”

A Zenity batizou o fenômeno de colisão de intenção. Na prática, o modelo mistura duas fontes que deveriam ter pesos diferentes. De um lado, existe o pedido real do usuário. Do outro, existe o texto que veio da página, do email ou do comentário.

O agente trata os dois como instrução legítima. Assim, a fronteira entre dado e comando simplesmente desaparece. Para quem escreve backend, a analogia é direta. Isso lembra bastante uma injeção de SQL, só que sem query parametrizada disponível.

Vale reforçar um ponto que a própria Zenity destacou. O comportamento nasce do desenho do produto. Agir como o usuário em qualquer origem é exatamente a função do agente.

O caso Atlas: da newsletter inocente ao carrinho da Amazon

Os testes com o ChatGPT Atlas foram detalhados pelo pesquisador Stav Cohen. Primeiro, a equipe plantou um comentário em uma postagem pública. Depois, bastou a vítima pedir algo banal, como se inscrever em uma newsletter. Em seguida, o navegador foi redirecionado para um site malicioso.

A partir daí, o assistente abriu o WhatsApp Web sozinho. Como resultado, mensagens de phishing seguiram para toda a lista de contatos.

O segundo teste foi ainda mais concreto. O mesmo pedido levou o Atlas até a Amazon. Lá, o agente adicionou produtos ao carrinho e trocou o endereço de entrega pelo endereço do invasor. Ele parou apenas no botão final de compra.

Aqui entra o detalhe que interessa a quem projeta guardrails. O limite rígido nunca quebrou. No entanto, os pesquisadores recrutaram um segundo assistente da própria plataforma para concluir a ação. Em outras palavras, a barreira foi contornada por delegação.

Ferramenta de código do Claude: o caminho do alert até o Google Drive

A pesquisa contra a extensão Claude in Chrome ficou com Raul Klugman-Onitza e João Donato. O alvo foi a ferramenta de execução de código oferecida pelo assistente. Inicialmente, os testes exibiam apenas janelas de aviso na tela. Depois disso, a dupla passou a importar pacotes externos que carregavam ordens ocultas.

O resultado foi amplo. Os pesquisadores extraíram emails do Gmail e obtiveram acesso persistente ao Google Drive. Também compartilharam arquivos da vítima com contas sob controle do invasor. Segundo o relatório, a injeção de comandos passou pelos mecanismos de segurança da ferramenta.

A escalada continuou para Slack, X e para o próprio ambiente do Claude.ai. Nesse último caso, o invasor emitiu um link de autenticação e leu o código de verificação no Gmail da vítima. Por fim, estabeleceu uma sessão válida na conta. De fato, a tecnologia acabou virada contra si mesma.

Claude: Divulgação responsável com finais diferentes

A Zenity comunicou as descobertas no fim de 2025 e no início de 2026. A OpenAI reconheceu em fevereiro que existem riscos relevantes de injeção de prompt em ambientes de agentes. Além disso, classificou a resistência a esse tipo de ataque como trabalho contínuo.

A Anthropic seguiu outro caminho. Os relatos enviados via HackerOne foram encerrados sem recompensa e marcados como inelegíveis para o programa. Esse desfecho abre uma discussão legítima na comunidade. Afinal, comportamento esperado do produto e falha de segurança começam a se sobrepor.

Classificador funciona como sinal, código funciona como fronteira Claude

Cohen resumiu as defesas do Atlas como classificadores maleáveis. Essa distinção importa muito na arquitetura. Um classificador estima probabilidade e responde com um rótulo. Um limite implementado em código bloqueia a chamada antes da execução.

Portanto, o modelo deve ficar fora do caminho crítico da autorização. A decisão de permitir uma ação pertence à camada determinística. Assim, nenhum texto criativo o suficiente consegue negociar permissão.

Checklist de engenharia para agentes com acesso ao navegador

Alguns padrões já se mostram consistentes em produção. Portanto, vale revisar o backlog com estes pontos.

Isolamento de sessão. Rode o agente em um perfil separado do navegador. Dessa forma, ele nunca herda cookies de banco, email corporativo ou console de nuvem.

Privilégio mínimo por tarefa. Conceda escopo restrito e temporário para cada execução. Além disso, revogue o token assim que a tarefa terminar.

Aprovação humana para ações irreversíveis. Compras, transferências, envio de mensagens e compartilhamento de arquivos exigem confirmação explícita. Inclusive, a confirmação deve acontecer fora do canal que o agente controla.

Saída do modelo como entrada não confiável. Trate qualquer texto vindo da web como dado hostil. Em seguida, valide antes de transformar em chamada de função.

Execução de código em sandbox real. Bloqueie importação dinâmica de pacotes externos por padrão. Também mantenha uma lista de saída de rede permitida.

Trilha de auditoria detalhada. Registre cada ferramenta chamada, cada domínio visitado e cada parâmetro usado. Assim, a investigação começa com evidência e não com suposição.

Defesa contra delegação. Verifique se um agente consegue acionar outro agente para realizar o que ele mesmo recusaria.

O que levar para a próxima sprint

A conclusão da Zenity foi direta. Uma correção pontual de código resolve pouco, porque o risco nasce da natureza dos navegadores com IA. Por isso, a recomendação combina limites rígidos no código com cautela na concessão de acesso amplo.

Para quem desenvolve, existe uma leitura prática. O agente virou um novo componente de infraestrutura com permissões de usuário real. Consequentemente, ele merece o mesmo rigor aplicado a uma API pública. Modelagem de ameaça, escopo mínimo e auditoria deixaram de ser opcionais nesse cenário.

Acompanhe nosso perfil no Instagram!