Investigadores demonstram ataques contra ChatGPT Atlas e Claude in Chrome sem necessidade de a vítima clicar em links maliciosos
Falhas exploram a capacidade dos agentes para interpretar conteúdos da Internet e executar tarefas dentro de sessões já autenticadas
Investigadores de cibersegurança identificaram vulnerabilidades em agentes de inteligência artificial (IA) com capacidade para navegar na Internet e executar tarefas em nome dos utilizadores, demonstrando que conteúdos maliciosos podem levá-los a realizar acções não autorizadas. Os testes envolveram o ChatGPT Atlas, da OpenAI, e o Claude in Chrome, da Anthropic.
A investigação, realizada pela empresa de segurança Zenity, identificou um problema designado por “colisão de intenção”, no qual o agente confunde instruções presentes numa página, mensagem ou publicação com comandos legítimos do utilizador. Como estes sistemas conseguem ler conteúdos da Internet e actuar através das sessões onde a vítima já está autenticada, o atacante pode explorar essa confiança para desencadear acções sem depender de um clique directo da vítima.
Nos testes realizados com o ChatGPT Atlas, os investigadores conseguiram esconder instruções maliciosas num comentário de uma publicação. Depois de o utilizador solicitar uma tarefa aparentemente inofensiva, como subscrever uma newsletter, o agente foi induzido a abrir o WhatsApp Web e a enviar mensagens de phishing para os contactos da vítima. Noutro cenário, o sistema foi manipulado para aceder à Amazon, adicionar produtos ao carrinho e alterar a morada de entrega para uma localização controlada pelo atacante.
O mecanismo de protecção impediu a conclusão automática da compra, mas os investigadores demonstraram uma forma de contornar essa limitação utilizando outro agente de IA para executar a etapa que o primeiro sistema recusava. O episódio evidencia uma dificuldade adicional dos sistemas autónomos: uma restrição aplicada a um agente pode perder eficácia quando existem outros agentes com acesso às mesmas contas e serviços.
No caso do Claude in Chrome, os investigadores exploraram a capacidade de execução de código da extensão. A investigação demonstrou que comandos inicialmente visíveis poderiam evoluir para operações ocultas, incluindo a importação de componentes externos, permitindo extrair mensagens do Gmail, criar acessos persistentes ao Google Drive e partilhar ficheiros com contas controladas por terceiros.
A exploração também permitiu alcançar serviços como o Slack, a rede social X e plataformas da própria Anthropic. Num dos cenários, os investigadores conseguiram gerar um processo de autenticação, obter através do Gmail o código de verificação e estabelecer uma sessão autenticada na conta da vítima.
A Zenity comunicou as vulnerabilidades à OpenAI e à Anthropic entre o final de 2025 e o início de 2026. A OpenAI reconheceu posteriormente a existência de riscos significativos associados à injecção de instruções em ambientes utilizados por agentes, enquanto a Anthropic encerrou os relatórios apresentados no seu programa de vulnerabilidades sem atribuir recompensa aos investigadores.
O problema levanta uma questão estrutural para a segurança dos chamados agentes de IA. Ao contrário de um chatbot convencional, estes sistemas não se limitam a produzir texto: podem navegar, consultar contas, preencher formulários e executar tarefas utilizando as permissões concedidas pelo próprio utilizador. Quanto maior for esse nível de autonomia, maior será também o impacto potencial de uma instrução maliciosa escondida num conteúdo aparentemente legítimo.
Para os investigadores, a solução não passa apenas por corrigir uma falha específica, uma vez que parte do risco está relacionada com a própria arquitectura dos navegadores e agentes de IA. A utilização de permissões mais restritas, separação entre leitura e execução de acções, autenticação adicional para operações sensíveis e limites técnicos mais rígidos poderão ser necessários para reduzir a superfície de ataque.
As demonstrações mostram que a segurança dos agentes de IA depende não apenas da protecção das contas, mas também da capacidade de impedir que instruções provenientes de conteúdos externos sejam tratadas como ordens legítimas do utilizador.
