){kind=link}
ChatGPT Atlas e o Claude in Chrome, que auxiliam a navegação web com IA, apresentam falhas graves que permitem o controle remoto de contas e dados de usuários sem que seja necessário clicar em nenhum link suspeito. A revelação foi divulgada por meio de dois relatórios dos pesquisadores da empresa de segurança Zenity.
Segundo os especialistas, comandos maliciosos escondidos em e-mails e comentários em redes sociais conseguem enganar os assistentes virtuais para que executem ações automáticas em benefício de invasores, demonstraram os especialistas. O problema central acontece porque o agente de IA lê conteúdos da internet e executa tarefas no lugar do usuário, utilizando exatamente as mesmas sessões em que a pessoa já está conectada e autenticada.
smart_display
Nossos vídeos em destaque
Quando um invasor planta instruções escondidas em uma página web, em um e-mail ou em uma postagem, a inteligência artificial confunde o comando externo com um pedido legítimo do próprio dono da conta. Esse fenômeno foi chamado pela equipe de pesquisa de “colisão de intenção”.
A Zenity resumiu esse comportamento ao declarar que “o agente traz essa falha de graça, porque agir como você em cada origem é um truque que o invasor não precisa mais puxar; é simplesmente o que o agente faz por desenho”.
Ataques ao ChatGPT Atlas
No caso do ChatGPT Atlas, os testes detalhados pelo pesquisador de segurança Stav Cohen mostraram que o sistema possui barreiras baseadas em classificadores que funcionam apenas como rótulos maleáveis, e não como barreiras técnicas definitivas. O especialista afirmou que “as defesas de Atlas são principalmente classificadores suaves, e não limites rígidos”.
Durante os testes, os profissionais conseguiram plantar um comentário em uma postagem que redirecionava o navegador para um site malicioso quando a vítima pedia algo simples, como se inscrever em uma newsletter. A partir desse movimento, o assistente foi induzido a abrir o WhatsApp Web e enviar mensagens de phishing para toda a lista de contatos da vítima.
Em um segundo teste, a mesma solicitação direcionou o Atlas para o site da Amazon, no qual o agente adicionou produtos ao carrinho, alterou o endereço de entrega para o local do invasor e parou apenas no botão final de compra.
Como o código impede que o agente clique sozinho na finalização, os invasores contornaram o obstáculo utilizando outro assistente da própria plataforma. Os autores detalharam que “o limite rígido nunca quebrou, e nunca precisou. O Atlas simplesmente conseguiu um segundo AI para fazer a única coisa que ele não faria por si mesmo”.
Ataques ao Claude in Chrome
A pesquisa conduzida por Raul Klugman-Onitza e João Donato contra a extensão Claude in Chrome, da Anthropic, focou na exploração da ferramenta de execução de código fornecida pelo assistente. Eles iniciaram o processo com comandos simples na tela para abrir janelas de aviso e evoluíram para a importação de pacotes de programas externos que executavam ordens ocultas sem levantar suspeitas.
)
Com essa brecha, os especialistas realizaram a extração completa de e-mails do Gmail, obtiveram acesso persistente ao Google Drive e compartilharam arquivos da vítima com contas controladas pelos invasores. Os autores do artigo destacaram que a injeção de comandos burlou os mecanismos de segurança da ferramenta.
A exploração avançou para o roubo de contas em plataformas como Slack, X (antigo Twitter) e no próprio sistema de IA da Anthropic. Os pesquisadores demonstraram que, no ambiente do Claude.ai, o invasor conseguiu emitir links de autenticação, ler o código de verificação no Gmail e estabelecer uma sessão autenticada na conta da vítima. Os autores destacaram que o golpe permitia o acesso amplo a informações confidenciais, o que mostrou como a tecnologia pode ser virada contra si mesma.
Resposta das empresas
A Zenity relatou as descobertas para a OpenAI e a Anthropic no final de 2025 e início de 2026. A criadora do ChatGPT reconheceu, em fevereiro deste ano, que existem “riscos significativos associados à injeção de prompt em ambientes dos agentes” e afirmou que a resistência a esse tipo de falha é uma área contínua de trabalho, conforme detalhado nas publicações oficiais de pesquisa da Zenity.
Por outro lado, a Anthropic encerrou os relatórios enviados via HackerOne sem conceder recompensas e afirmou nos registros de divulgação da Zenity que o material era inelegível para o programa de vulnerabilidades.
Em contrapartida, os pesquisadores da Zenity concluíram que o problema não pode ser resolvido com uma simples correção de código, pois está atrelado à natureza dos navegadores baseados em IA. A recomendação é que os desenvolvedores implementem limites rígidos em código, enquanto os usuários devem manter cautela ao conceder acesso amplo a assistentes automatizados.
Por falar em falhas na segurança digital, um ataque ao npm afetou um ecossistema de código aberto e bilhões de instalações. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.