Hacking de Navegador com IA Zero‑Clique Atinge o Claude e o ChatGPT Atlas

Pesquisadores de segurança da Zenity revelaram duas técnicas de hacking de navegador com IA de zero‑clique capazes de sequestrar a extensão Claude do Chrome da Anthropic e o navegador ChatGPT Atlas da OpenAI. Diferentemente dos ataques de phishing tradicionais, que exigem que o usuário clique num link malicioso ou abra um anexo, estes métodos funcionam, alegadamente, apenas com o agente de IA a ler um e‑mail manipulado ou uma publicação no X – sem qualquer interação do utilizador para além daquilo que a IA foi concebida para fazer: navegar por conteúdos em seu nome.

A distinção é importante. O hacking de navegador com IA zero‑clique transfere a superfície de ataque do utilizador humano para o próprio agente de IA. Se for concedida a um assistente a permissão de ler a sua caixa de entrada, resumir páginas web ou executar ações dentro de uma sessão do navegador, qualquer conteúdo que ele encontre torna‑se um possível mecanismo de entrega de instruções ocultas. A investigação da Zenity, divulgada pelo SecurityWeek, mostra que tanto o Claude no Chrome como o ChatGPT Atlas eram vulneráveis a este tipo de manipulação.

Como Alegadamente Funcionam os Ataques

As extensões de navegador com IA e os navegadores agentivos como o Atlas foram concebidos para ler, interpretar e agir sobre conteúdos em toda a web, incluindo e‑mails, publicações em redes sociais e texto incorporado nas páginas. Esta funcionalidade é todo o argumento de venda destas ferramentas. Mas também significa que a IA nem sempre consegue distinguir entre uma instrução legítima do seu utilizador e uma instrução oculta enterrada numa página web, no corpo de um e‑mail ou numa publicação de rede social que esteja a processar.

Esta classe de vulnerabilidade é frequentemente designada por injeção de prompts. Um atacante cria conteúdo que parece inofensivo para um leitor humano, mas contém texto especificamente destinado a ser interpretado como um comando pelo modelo de IA. Quando o navegador ou a extensão de IA processa esse conteúdo como parte de uma tarefa rotineira (resumir uma conversa de e‑mail, verificar um website, percorrer uma linha temporal), pode ser levado a executar instruções que o utilizador nunca aprovou.

De acordo com a reportagem, as descobertas da Zenity vão além de duas simples falhas isoladas. A empresa tem estado a examinar um conjunto mais vasto de fragilidades nos navegadores de IA, e o seu trabalho vem juntar‑se a um corpo crescente de investigação que mostra que as ferramentas de navegação agentiva, ainda recentes no mercado, estão a ser escrutinadas quanto a lacunas de segurança antes que as suas defesas tenham amadurecido totalmente. Isto reflete um padrão já observado noutras áreas da segurança de software, em que falhas de dia zero em plataformas confiáveis são exploradas antes de as correções chegarem, como se viu em casos como o dos hackers patrocinados pelo Estado russo que exploram um zero‑day do Zimbra para atingir contas de e‑mail ligadas à OTAN.

Por Que Isto é Relevante para a Privacidade

Os assistentes de navegador com IA são comercializados como ferramentas de produtividade: leem o seu e‑mail, resumem os seus separadores e podem até realizar ações como preencher formulários ou navegar em sites por si. Este nível de acesso é precisamente o que torna o hacking de navegador com IA zero‑clique tão preocupante do ponto de vista da privacidade. Se um atacante conseguir sequestrar o processo de decisão da IA através de conteúdo que esta meramente encontra, pode obter um ponto de apoio em tudo o que a IA tem permissão para ver ou fazer, sem que a vítima alguma vez precise de clicar em algo.

Este é um modelo de ameaça fundamentalmente diferente dos ataques de roubo de credenciais ou de distribuição de malware contra os quais a maioria das pessoas está habituada a defender‑se. Não depende de enganar uma pessoa; depende de enganar o software que age em nome dessa pessoa. Dinâmicas semelhantes verificaram‑se noutros contextos em que software local confiável se torna um alvo, como quando uma ferramenta legítima de segurança bancária coreana foi transformada num vetor de ataque através de uma exploração de dia zero. O fio condutor: ferramentas concebidas para ajudar os utilizadores podem ser reaproveitadas por atacantes quando os seus limites de confiança não são estanques.

O Que Isto Significa Para Si

Se utiliza extensões de navegador com IA ou ferramentas de navegação agentiva como o Claude no Chrome ou o ChatGPT Atlas, esta divulgação é um lembrete para pensar cuidadosamente sobre as permissões que lhes concede. Estas ferramentas são poderosas precisamente porque conseguem ler e agir automaticamente sobre conteúdos, mas essa mesma automação remove uma camada de discernimento humano que costumava servir como um controlo natural contra a manipulação.

Por enquanto, a resposta prática é de cautela, e não de pânico. Limite o âmbito de acesso que concede aos agentes de navegador com IA, especialmente a contas sensíveis como e‑mail ou plataformas financeiras. Mantenha estas extensões e navegadores atualizados, já que os fabricantes normalmente corrigem as vulnerabilidades divulgadas assim que os investigadores as reportam de forma responsável. E esteja atento ao facto de que conteúdos provenientes de remetentes ou contas desconhecidas, mesmo que pareçam texto banal, podem ter sido concebidos para os olhos de uma IA e não para os seus.

Pontos-chave

  • O hacking de navegador com IA zero‑clique permite que atacantes sequestrem agentes de IA como o Claude no Chrome e o ChatGPT Atlas sem qualquer clique do utilizador, simplesmente através de e‑mails manipulados ou publicações em redes sociais.
  • A técnica explora a forma como os agentes de IA processam e agem sobre o conteúdo, uma classe de vulnerabilidade conhecida como injeção de prompts.
  • Reveja e limite as permissões que concede aos assistentes de navegador com IA, particularmente no que respeita ao acesso a e‑mail e a contas.
  • Mantenha as ferramentas de navegador com IA atualizadas e esteja atento às correções de segurança dos fabricantes na sequência desta divulgação.
  • Trate os agentes de IA como mais uma parte da sua superfície de ataque, e não apenas como uma funcionalidade de conveniência, ao avaliar a sua postura de privacidade pessoal ou organizacional.