ChatGPT Atlas e o Claude in Chrome, que auxiliam a navegação web com IA, apresentam falhas graves que permitem o controle remoto de contas e dados de usuários sem que seja necessário clicar em nenhum link suspeito. A revelação foi divulgada por meio de dois relatórios dos pesquisadores da empresa de segurança Zenity.Segundo os especialistas, comandos maliciosos escondidos em e-mails e comentários em redes sociais conseguem enganar os assistentes virtuais para que executem ações automáticas em benefício de invasores, demonstraram os especialistas. O problema central acontece porque o agente de IA lê conteúdos da internet e executa tarefas no lugar do usuário, utilizando exatamente as mesmas sessões em que a pessoa já está conectada e autenticada.Quando um invasor planta instruções escondidas em uma página web, em um e-mail ou em uma postagem, a inteligência artificial confunde o comando externo com um pedido legítimo do próprio dono da conta. Esse fenômeno foi chamado pela equipe de pesquisa de “colisão de intenção”.A Zenity resumiu esse comportamento ao declarar que “o agente traz essa falha de graça, porque agir como você em cada origem é um truque que o invasor não precisa mais puxar; é simplesmente o que o agente faz por desenho”.Ataques ao ChatGPT AtlasEsquema montado pelos pesquisadores (Reprodução/Zenity)No caso do ChatGPT Atlas, os testes detalhados pelo pesquisador de segurança Stav Cohen mostraram que o sistema possui barreiras baseadas em classificadores que funcionam apenas como rótulos maleáveis, e não como barreiras técnicas definitivas. O especialista afirmou que “as defesas de Atlas são principalmente classificadores suaves, e não limites rígidos”.Durante os testes, os profissionais conseguiram plantar um comentário em uma postagem que redirecionava o navegador para um site malicioso quando a vítima pedia algo simples, como se inscrever em uma newsletter. A partir desse movimento, o assistente foi induzido a abrir o WhatsApp Web e enviar mensagens de phishing para toda a lista de contatos da vítima.Em um segundo teste, a mesma solicitação direcionou o Atlas para o site da Amazon, no qual o agente adicionou produtos ao carrinho, alterou o endereço de entrega para o local do invasor e parou apenas no botão final de compra.Como o código impede que o agente clique sozinho na finalização, os invasores contornaram o obstáculo utilizando outro assistente da própria plataforma. Os autores detalharam que “o limite rígido nunca quebrou, e nunca precisou. O Atlas simplesmente conseguiu um segundo AI para fazer a única coisa que ele não faria por si mesmo”.Ataques ao Claude in ChromeA pesquisa conduzida por Raul Klugman-Onitza e João Donato contra a extensão Claude in Chrome, da Anthropic, focou na exploração da ferramenta de execução de código fornecida pelo assistente. Eles iniciaram o processo com comandos simples na tela para abrir janelas de aviso e evoluíram para a importação de pacotes de programas externos que executavam ordens ocultas sem levantar suspeitas.Print da tela dos pesquisadores durante os testes com o Claude (Reprodução/Zenity)Com essa brecha, os especialistas realizaram a extração completa de e-mails do Gmail, obtiveram acesso persistente ao Google Drive e compartilharam arquivos da vítima com contas controladas pelos invasores. Os autores do artigo destacaram que a injeção de comandos burlou os mecanismos de segurança da ferramenta.A exploração avançou para o roubo de contas em plataformas como Slack, X (antigo Twitter) e no próprio sistema de IA da Anthropic. Os pesquisadores demonstraram que, no ambiente do Claude.ai, o invasor conseguiu emitir links de autenticação, ler o código de verificação no Gmail e estabelecer uma sessão autenticada na conta da vítima. Os autores destacaram que o golpe permitia o acesso amplo a informações confidenciais, o que mostrou como a tecnologia pode ser virada contra si mesma.Resposta das empresasA Zenity relatou as descobertas para a OpenAI e a Anthropic no final de 2025 e início de 2026. A criadora do ChatGPT reconheceu, em fevereiro deste ano, que existem "riscos significativos associados à injeção de prompt em ambientes dos agentes" e afirmou que a resistência a esse tipo de falha é uma área contínua de trabalho, conforme detalhado nas publicações oficiais de pesquisa da Zenity.Por outro lado, a Anthropic encerrou os relatórios enviados via HackerOne sem conceder recompensas e afirmou nos registros de divulgação da Zenity que o material era inelegível para o programa de vulnerabilidades.Em contrapartida, os pesquisadores da Zenity concluíram que o problema não pode ser resolvido com uma simples correção de código, pois está atrelado à natureza dos navegadores baseados em IA. A recomendação é que os desenvolvedores implementem limites rígidos em código, enquanto os usuários devem manter cautela ao conceder acesso amplo a assistentes automatizados.Por falar em falhas na segurança digital, um ataque ao npm afetou um ecossistema de código aberto e bilhões de instalações. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.