A empresa de segurança em inteligência artificial Zenity revelou os detalhes de duas técnicas de hacking de navegadores de IA que afetam o Claude no Chrome e o ChatGPT Atlas, demonstrando como elas podem ser usadas para sequestro de contas, phishing e realização de compras não autorizadas na Amazon.
A Zenity descreveu sua pesquisa, batizada de PleaseFix, em duas postagens de blog publicadas na quarta-feira, uma cobrindo a pesquisa sobre o ChatGPT Atlas e outra cobrindo o ataque ao Claude no Chrome.
Hacking do ChatGPT Atlas
Pesquisadores da Zenity descobriram que o navegador agêntico da OpenAI, ChatGPT Atlas, é vulnerável à injeção indireta de prompt sem clique (IPI, na sigla em inglês) devido a problemas fundamentais de design arquitetônico, e não a bugs tradicionais de software.
Ao explorar a "colisão de intenções" por meio de um único comentário plantado em um thread do X, os pesquisadores demonstraram como um invasor pode sequestrar solicitações benignas do usuário para controlar o agente em sessões web autenticadas.
Navegadores agênticos como o Atlas quebram a Política de Mesma Origem (SOP, na sigla em inglês) por design, porque atuam como uma entidade única abrangendo várias abas autenticadas simultaneamente, efetivamente ressuscitando a falsificação de solicitações entre sites (CSRF, na sigla em inglês). Isso permite que instruções maliciosas em uma página não confiável instruam o agente a executar ações em qualquer outro site onde o usuário esteja conectado.
Os pesquisadores da Zenity demonstraram dois cenários. Em um deles, um usuário pede ao Atlas para realizar uma tarefa rotineira, como inscrevê-lo em uma newsletter a partir de um post no X. Um comentário no X meticulosamente elaborado redireciona o Atlas para uma página com carga maliciosa. O agente então navega até o WhatsApp Web, lê a lista de contatos da vítima e envia mensagens de phishing para todos os contatos.
No segundo cenário, o Atlas é direcionado para a Amazon, adiciona itens ao carrinho e atualiza o endereço de entrega para o local do invasor. Para burlar as restrições que o impedem de clicar no botão final de compra, o Atlas instrui o assistente de IA integrado da Amazon, o Rufus, a fazer o pedido.
A Zenity reportou essas descobertas à OpenAI em janeiro de 2026, e a gigante da IA reconheceu o relatório, mas não há correção fácil porque a exploração depende da capacidade central intencional de um navegador agêntico: ler conteúdo da web e agir sobre ele em domínios autenticados.
Hacking do Claude no Chrome
A Zenity também demonstrou uma cadeia de ataque sem clique contra a extensão oficial do Claude para Chrome, escalando uma injeção indireta de prompt até o sequestro total de conta em várias plataformas web.
O exploit abusa das permissões elevadas do navegador agêntico operando dentro das sessões ativas do usuário.
Em um cenário de ataque descrito pela empresa de segurança, a vítima recebe um e-mail malicioso contendo estruturas de prompt invisíveis. Simplesmente pedir ao Claude para resumir os e-mails mais recentes faz com que o agente interprete as instruções ocultas como comandos diretos.
Os mecanismos padrão de segurança deveriam bloquear a execução direta de scripts maliciosos, mas os invasores podem contornar isso hospedando pacotes NPM personalizados em uma CDN (Rede de Distribuição de Conteúdo) desonesta. O Claude é induzido a chamar uma importação aparentemente benigna, que executa silenciosamente o código da carga maliciosa.
Os pesquisadores demonstraram como, operando dentro dos cookies de sessão ativos, o script do invasor consulta o feed Atom do Gmail, extrai os IDs das mensagens, analisa os corpos completos dos e-mails e exfiltra silenciosamente o conteúdo da caixa de entrada para o servidor do invasor. O invasor também pode compartilhar silenciosamente todos os arquivos da conta do Google Drive do usuário alvo com uma conta que ele controla.
A Zenity também demonstrou o sequestro de contas no Slack e no X. O invasor pode acionar um login ou redefinição de senha na conta e fazer com que o agente monitore o Gmail em busca de códigos de verificação recebidos, que são então retransmitidos ao invasor para concluir o sequestro da sessão.
As descobertas foram reportadas à Anthropic em dezembro de 2025 e janeiro de 2026, e foram classificadas como "informativas".
*atualizado para adicionar a referência ao PleaseFix
