Seu navegador de IA pode virar arma contra você, mostra pesquisa apresentada na Black Hat

O navegador deixou de ser apenas uma janela para a internet. Nos modelos mais recentes, ele lê e-mails, preenche formulários, acessa contas conectadas e toma decisões sozinho, tudo isso em nome do usuário que está do outro lado da tela. É essa autonomia que promete economizar tempo, e é exatamente ela que abriu uma nova categoria de vulnerabilidade, expondo dados bancários, senhas e conversas privadas a quem souber esconder um comando dentro de uma página comum.

Uma investigação da revista americana Wired revelou que pesquisadores da empresa de segurança israelense Zenity conseguiram manipular o Atlas, navegador de inteligência artificial da OpenAI, para que ele enviasse mensagens de phishing a todos os contatos do WhatsApp Web de uma vítima e chegasse a preparar uma compra não autorizada na Amazon. O trabalho foi apresentado na conferência Black Hat, em Las Vegas, e detalha como bastou publicar um link de cadastro em uma rede social, com instruções escritas em hebraico escondidas na página, para transformar o agente de IA em cúmplice do ataque. A reportagem completa, incluindo a resposta da OpenAI, pode ser lida no site da Wired (link nas referências, ao final).

Como o golpe funcionava

O mecanismo descrito pelos pesquisadores segue um roteiro relativamente simples. A vítima pede ao Atlas que se inscreva em uma newsletter. A página de cadastro, porém, contém um texto invisível ao olho humano, mas perfeitamente legível para o agente de IA, instruindo-o a abrir o WhatsApp Web já autenticado no navegador e disparar a mesma mensagem para cada contato da lista. Os pesquisadores chamam essa técnica de "colisão de intenção" (intent collision): o agente mistura, sem perceber, o pedido legítimo do usuário com o comando malicioso plantado na página, e executa os dois como se fossem um só.

No caso da Amazon, os pesquisadores não conseguiram fazer o Atlas concluir a compra diretamente, pois havia uma barreira de segurança específica para transações financeiras. A saída encontrada foi pedir que o próprio assistente de compras da Amazon, o Rufus, finalizasse o pedido, o que a IA da varejista aceitou sem questionar, por entender que a solicitação vinha de quem parecia ser o cliente legítimo.

Um problema que foi além do Atlas

A reportagem da Wired chega em um momento simbólico: a própria OpenAI já havia anunciado o encerramento do Atlas como navegador independente, com desligamento previsto para 9 de agosto de 2026, menos de um ano depois do lançamento. Suas funções de navegação autônoma migram para o aplicativo do ChatGPT e para uma extensão de Chrome, segundo comunicado da empresa à imprensa especializada.

Mas o problema não desapareceu com o produto. Na mesma edição da Black Hat 2026, a Zenity Labs apresentou uma família mais ampla de falhas, batizada de "PleaseFix", que afeta praticamente todos os grandes navegadores agênticos do mercado: o Claude for Chrome, da Anthropic, o Gemini in Chrome, do Google, o Comet, da Perplexity, o próprio Atlas e o Copilot no Edge, da Microsoft. Diferentemente do caso do WhatsApp, que exigia que a vítima clicasse em um link, várias dessas novas falhas funcionam em modo "zero clique": basta que o agente processe um e-mail ou um convite de calendário malicioso para ser sequestrado, sem nenhuma ação consciente do usuário.

No caso do Claude for Chrome, os pesquisadores demonstraram que um único e-mail malicioso permitiu extrair dados do Gmail, compartilhar arquivos do Google Drive e assumir o controle de contas no Slack e no X, mesmo com confirmações de segurança ativadas. Já no Comet, da Perplexity, um convite de calendário envenenado deu acesso ao sistema de arquivos local e permitiu o sequestro completo de uma conta no gerenciador de senhas 1Password. A Perplexity já havia corrigido uma primeira versão dessa falha em fevereiro, mas a Zenity afirma ter contornado o reparo duas vezes.

Por que isso quebra a lógica da web

Bargury resume o problema em um conceito técnico conhecido de quem trabalha com segurança da informação: o princípio da mesma origem (same-origin policy), que existe desde os anos 1990 e impede que um site acesse dados de outro site sem autorização. Um navegador agêntico, ao processar conteúdo de múltiplas abas, contas e fontes dentro de uma única sessão contínua, na prática anula essa barreira, porque tudo passa a ser interpretado pelo mesmo agente com as mesmas permissões. Um estudo da Universidade de Washington, publicado em julho, testou sete navegadores agênticos e concluiu que quatro deles permitiam contornar esse princípio, recomendando cautela antes de qualquer uso corporativo generalizado da tecnologia.

O recado para quem usa WhatsApp no Brasil

A escolha do WhatsApp como vetor de ataque não foi acidental, e é aí que o caso ganha relevância direta para o público brasileiro. Levantamento da Global Anti-Scam Alliance (GASA) com a Opinium mostrou que 64% das pessoas que sofreram tentativa de fraude no país foram abordadas justamente pelo aplicativo, a maior proporção entre todos os países pesquisados pela entidade. Dados do Observatório Febraban, com pesquisa do Ipespe, colocam o golpe do WhatsApp como o segundo mais sofrido pelos brasileiros, atrás apenas da clonagem de cartão.

Um agente de IA capaz de operar a sessão do WhatsApp Web de forma autônoma, e de ser enganado por uma página maliciosa para fazer exatamente isso, transforma um vetor de golpe já conhecido em algo potencialmente automatizado e distribuído em escala, sem que o criminoso precise redigir cada mensagem manualmente.

O que fazer, na prática

Especialistas ouvidos pela imprensa especializada recomendam cautela redobrada ao conectar navegadores de IA a contas sensíveis, como WhatsApp Web, e-mail corporativo, bancos digitais e gerenciadores de senhas. Entre as medidas mais citadas estão: revisar periodicamente quais sessões o agente mantém autenticadas, desativar recursos de navegação autônoma ao lidar com páginas desconhecidas, exigir confirmação manual para qualquer ação financeira ou de envio de mensagens, e preferir, por ora, ferramentas com escopo de permissão mais restrito para tarefas críticas.

Para empresas brasileiras, o tema também tem implicações regulatórias. A Autoridade Nacional de Proteção de Dados (ANPD) tornou-se agência independente em 2026 e incluiu explicitamente sistemas de inteligência artificial entre as prioridades de fiscalização para o biênio 2026-2027, o que amplia a responsabilidade de empresas que adotarem esse tipo de ferramenta no tratamento de dados pessoais de clientes.