Claude, Gemini, Comet: cinco navegadores de IA comprometidos por um único e-mail

Um navegador com IA é um navegador com um assistente integrado que realiza o trabalho por você. Ele lê páginas, abre abas, preenche formulários e clica em seu nome. Esse é exatamente o problema. Na Black Hat USA 2026, em Las Vegas, a Zenity Labs demonstrou que cinco dos assistentes mais conhecidos podem ser controlados usando nada além de conteúdo comum: o Claude no Chrome, o Gemini no Chrome, o Perplexity Comet, o ChatGPT Atlas e o Copilot Edge.

A falha em si não é nova. A Zenity a demonstrou pela primeira vez no Comet em março de 2026. O que é novo é o alcance dessa falha. Assistentes de IA que vão além do pretendido tornaram-se um padrão, como mostrou o recente teste de segurança na Anthropic.

A classe de ataque é chamada de PleaseFix. O truque por trás disso é simples. O assistente não consegue distinguir entre o que você pediu para ele fazer e o que está escrito no conteúdo que ele lê enquanto executa a tarefa. Assim, um invasor oculta instruções em um e-mail, um convite de calendário ou uma página da web. A Zenity chama isso de “Intent Collision”. O assistente trata as instruções externas como parte da sua solicitação e as executa, utilizando seu login, suas permissões e suas contas.

O que as demonstrações realmente fizeram

Com o Claude no Chrome, bastou um único e-mail preparado e a solicitação rotineira de resumir a caixa de entrada. Depois disso, o conteúdo do Gmail foi extraído, todo o Google Drive da vítima foi discretamente compartilhado com o invasor, e as contas do Slack, do X e do Claude foram comprometidas. Isso funcionou até mesmo no modo seguro do Claude, no qual o assistente pergunta antes de agir.

Com o Perplexity Comet, um convite de calendário malicioso que parecia um pedido de reunião real foi suficiente. Não foi necessário nem um único clique. O assistente acessou o sistema de arquivos local e abusou da extensão 1Password desbloqueada. O invasor saiu com todo o cofre e o usuário ficou sem acesso. Já escrevemos separadamente sobre como proteger suas contas além da senha.

Com o ChatGPT Atlas, foi um link comum em uma postagem popular nas redes sociais. O Atlas clicou nele, a página assumiu o controle do fluxo de trabalho e enviou mensagens de phishing pela própria conta do WhatsApp da vítima. Em um segundo ataque, o Atlas encheu o carrinho da vítima na Amazon e substituiu o endereço de entrega pelo do invasor. Quando as proteções da OpenAI bloquearam a finalização da compra, o Atlas simplesmente pediu ao próprio assistente da Amazon, o Rufus, para efetuar o pedido com o cartão de crédito da vítima. Um agente recruta o próximo.

De uma aba do navegador para toda a máquina

A situação piora no localhost, a zona onde os programas são executados diretamente em sua própria máquina, como ferramentas de desenvolvimento ou consoles de banco de dados. Essa zona é tratada como especialmente confiável. O Comet entrou diretamente e abriu um shell reverso — ou seja, o controle remoto de todo o computador — por meio das ferramentas de IA instaladas localmente, Ollama e Open WebUI. O Gemini no Chrome e no Edge tentou bloquear o acesso, mas o bloqueio foi rapidamente contornado. O Gemini prosseguiu excluindo servidores ativos na conta da vítima na AWS, e o Edge corrompeu um banco de dados SQL inteiro.

Além disso, há uma técnica que o Zenity denomina HistoryFixing. Um truque de navegador com 16 anos de idade permite que um invasor insira entradas falsas no histórico de navegação. O assistente as lê posteriormente e as considera fatos verdadeiros sobre você. As entradas nunca expiram. Elas só desaparecem se alguém limpar o histórico manualmente.

Nem todos os fornecedores desejam corrigir isso

A Zenity divulgou as descobertas à Anthropic, Perplexity, Google, Microsoft e OpenAI antes da palestra. Alguns lançaram correções. Outros recusaram e caracterizaram o comportamento como uma funcionalidade pretendida. E as correções ajudam apenas até certo ponto: depois que a Perplexity bloqueou o acesso ao sistema de arquivos, a Zenity contornou a correção duas vezes.

“Este não é um bug que possamos corrigir com um patch”, afirma Michael Bargury, cofundador e diretor de tecnologia (CTO) da Zenity. Os navegadores sempre mantiveram cada site separado dos demais, de modo que uma página aleatória não possa acessar sua conta bancária na qual você está conectado. Esse princípio é chamado de política de mesma origem. Os navegadores com assistente virtual desmantelam essa política, pois seu assistente analisa conteúdos de diferentes fontes em uma única sessão.

O que você pode fazer agora

“Um navegador com IA atua na Web como se fosse um funcionário seu, já conectado ao e-mail, aos arquivos, à agenda e aos aplicativos de trabalho”, afirma Stav Cohen, líder da equipe de pesquisa de segurança de IA da Zenity. Seu conselho é partir do princípio de que o agente será sequestrado e remover tudo o que ele não precise realmente. Na prática: verifique as configurações do seu navegador de IA e desative as opções padrão. Não faça login em contas importantes com um navegador de IA — nem na sua caixa de correio principal, nem no GitHub, nem nos seus serviços em nuvem. Limite os locais onde o agente tem permissão para agir. E não confie no pop-up que solicita permissão antes de agir. Com o Claude, esse modo específico foi contornado.

Para o ChatGPT Atlas, a questão se resolve por si só. A OpenAI encerrará o navegador em 9 de agosto; portanto, quem ainda o estiver utilizando deve salvar seus dados primeiro. Os outros quatro permanecem. E o assistente não é a única parte do navegador que monitora suas atividades: extensões disfarçadas também coletam conversas.