Pesquisadores hackeiam navegador da OpenAI para enviar spam a contatos do WhatsApp

Pesquisadores da empresa de segurança Zenity demonstraram, na conferência Black Hat em Las Vegas, que o navegador Atlas da OpenAI podia ter proteções contornadas e ser induzido a enviar spam para dezenas de contatos no WhatsApp ou a realizar compras não autorizadas na Amazon. A pesquisa foi publicada pela WIRED.

Segundo a reportagem, o achado sobre o Atlas faz parte de um conjunto mais amplo: a Zenity encontrou cerca de 20 falhas em navegadores e extensões com IA de várias empresas, incluindo Google, Anthropic, Microsoft e Perplexity. As brechas permitiram acessar máquinas locais, capturar arquivos, assumir o controle de um gerenciador de senhas e vazar todo o histórico de navegação de um usuário.

"Eles enfraqueceram o controle de segurança dos navegadores, estamos de volta a ver o tipo de ataque que se via em navegadores 20 anos atrás", disse Michael Bargury, cofundador e CTO da Zenity, que apresentou os resultados ao lado de Stav Cohen e outros colegas.

Como funciona o ataque ao WhatsApp

Na primeira prova de conceito, os pesquisadores pediram ao Atlas que assinasse um link de newsletter postado no X. A página maliciosa continha instruções escritas em hebraico, orientando a IA a navegar até a conta logada do usuário no WhatsApp Web e enviar a mesma mensagem para todos os contatos, o que os pesquisadores descrevem como uma "campanha de phishing em massa".

Segundo Bargury, o ataque não explora vulnerabilidade no WhatsApp. Ele funciona contornando vários mecanismos de segurança da OpenAI, com uma página de cadastro de aparência legítima, texto em hebraico para escapar de ferramentas de segurança em inglês e a afirmação falsa de que se tratava de uma versão em sandbox do WhatsApp Web com pessoas fictícias.

"Ele vai passar por cada um dos contatos e enviar as instruções para se inscrever nesta newsletter também, então isto é um worm", disse Bargury. "Você está infectando o resto dos seus amigos e familiares." A Zenity chama esse mecanismo de "colisão de intenções" (intent collision), em que a IA mistura instruções legítimas do usuário com instruções maliciosas da web.

O caso da Amazon

Com abordagem semelhante, os pesquisadores fizeram o Atlas adicionar um endereço de entrega a uma conta logada da Amazon e colocar um tablet no carrinho. Não conseguiram contornar as proteções da OpenAI para finalizar a compra diretamente, mas relatam ter conseguido que o Atlas pedisse ao assistente de compras Rufus, da Amazon, que fizesse a aquisição. "O Rufus não foi sequestrado nem injetado, ele apenas foi solicitado, pelo que interpretou como o cliente, e obedeceu", escreveram os pesquisadores.

A Zenity relatou os achados à OpenAI em janeiro. "No início deste ano, implantamos uma atualização para resolver o problema e reforçar as proteções no Atlas, que será descontinuado em 9 de agosto", disse um porta-voz da OpenAI, acrescentando que essas proteções se estendem aos recursos de navegação do novo app do ChatGPT. Segundo a reportagem, WhatsApp e Amazon não comentaram.

O que muda para quem constrói software no Brasil

O alerta é relevante para times que integram automações a plataformas de mensagem. No Brasil, WhatsApp é canal central de atendimento, e muitas equipes conectam chatbots e fluxos à WhatsApp Business API. O ataque descrito não mira essa API, e sim a sessão logada do WhatsApp Web dentro do navegador com IA, mas ilustra um risco estrutural: agentes que agem em nome do usuário podem misturar instruções confiáveis e conteúdo não confiável da web.

Os ataques de prompt injection seguem, nas palavras do próprio chefe de segurança da OpenAI citados pela WIRED, um "problema de segurança não resolvido". Para quem projeta agentes, a recomendação prática dos pesquisadores é usar barreiras de segurança determinísticas, e não apenas classificações feitas pela própria IA, que quase sempre podem ser enganadas.

"Devemos ter muito cuidado ao planejar que nível de acesso os agentes precisam ter aos navegadores e que nível de autonomia precisam para usá-los", afirmou Bargury. Para o contexto brasileiro, isso significa revisar escopos de sessão, isolar credenciais sensíveis e não presumir que filtros baseados em linguagem cobrem ataques escritos em outros idiomas.

Fonte: Wired