Navegadores de IA foram sequestrados na Black Hat 2026 — e o problema vai muito além do WhatsApp

O teste começava com uma tarefa aparentemente comum: pedir ao navegador que assinasse uma newsletter a partir de um link publicado no X, antigo Twitter. A página parecia normal para uma pessoa, mas escondia instruções maliciosas em hebraico. A escolha do idioma foi deliberada: segundo os pesquisadores, os filtros de segurança da OpenAI eram mais preparados para identificar comandos maliciosos em inglês, enquanto o modelo principal ainda conseguia compreender o texto em hebraico .

Ao processar a página, o agente do Atlas seguiu as instruções incorporadas ao conteúdo. Em segundo plano, acessou uma sessão já autenticada do WhatsApp Web e enviou a mensagem pré-programada para os contatos da vítima. Como os destinatários recebiam o mesmo link, o ataque poderia se espalhar para outros usuários do Atlas que o processassem — comportamento semelhante ao de um worm .

A demonstração não explorou uma falha do WhatsApp. A criptografia de ponta a ponta do aplicativo permaneceu intacta; o problema estava na maneira como o navegador de IA interpretava conteúdo e executava ações em nome do usuário .

Os pesquisadores também mostraram que o Atlas poderia ser manipulado para adicionar um endereço de entrega a uma conta Amazon já conectada, colocar produtos no carrinho e permitir que o assistente de compras Rufus concluísse uma compra sem conhecimento ou consentimento do usuário .

O que é a família de vulnerabilidades PleaseFix?

O caso do Atlas foi o exemplo mais chamativo de uma família de falhas batizada pela Zenity de PleaseFix. O conjunto envolve cerca de 20 vulnerabilidades distribuídas entre cinco dos principais navegadores e assistentes de navegação com recursos autônomos :

Esses produtos não apenas exibem páginas. Eles leem e interpretam e-mails, páginas da web, convites de calendário, documentos e publicações para cumprir tarefas. É justamente essa capacidade que cria o risco: um invasor pode inserir instruções em um conteúdo que o agente já esperava ler, fazendo com que comandos externos sejam tratados como parte do pedido legítimo do usuário .

Em ataques desse tipo, não é necessariamente preciso instalar malware ou explorar uma falha tradicional de software. Dependendo do fluxo, um conteúdo rotineiro — como um convite de calendário ou uma mensagem — pode ser suficiente para que o agente aja sem uma confirmação consciente da vítima .

Três técnicas usadas nos testes

• Instruções em idiomas ocultos ou pouco considerados: os pesquisadores usaram hebraico, além de técnicas de ofuscação com Unicode e outros textos não ingleses, para tentar passar pelos classificadores de segurança enquanto o modelo continuava entendendo a ordem .
• “Colisão de intenção”: o agente mistura o objetivo legítimo do usuário com instruções maliciosas presentes no conteúdo que está lendo. Assim, a ação do invasor pode parecer alinhada ao pedido original .
• Engano do sandbox: o invasor explora a diferença entre o que o ambiente isolado permite e o que o agente pode fazer com suas permissões legítimas, como acessar abas, cookies e sessões autenticadas .

Arquivos, senhas e compras também entram na zona de risco

Os impactos apresentados pela Zenity não se limitam ao envio de mensagens:

• Arquivos e máquinas locais: algumas cadeias de ataque permitiram roubo silencioso de dados e abriram caminhos para controle remoto do dispositivo .
• Gerenciadores de senhas: os testes envolveram cofres como o 1Password, com possibilidade de roubo de credenciais em sessões autenticadas .
• Compras não autorizadas: o agente pode adicionar endereços, selecionar produtos e concluir etapas de uma compra usando contas já conectadas .
• Tomada de contas e controle de dispositivos: as cadeias completas demonstraram caminhos para assumir contas e controlar remotamente equipamentos das vítimas .

A primeira divulgação pública da família PleaseFix ocorreu em março de 2026, quando a Zenity relatou que um convite de Google Calendar manipulado poderia sequestrar o agente do Perplexity Comet, extrair arquivos locais e roubar credenciais do 1Password sem que o usuário precisasse clicar em um link malicioso . A Perplexity informou ter corrigido as vulnerabilidades antes da divulgação pública .

Por que as proteções mais fortes do Atlas não bastaram?

Entre os navegadores avaliados, o Atlas tinha a combinação mais ampla de defesas: um classificador de segurança baseado em IA, um sandbox de execução restrita e solicitações de confirmação com participação humana para ações sensíveis . Ainda assim, os pesquisadores conseguiram contornar as três camadas .

1. O classificador de segurança: as instruções em hebraico exploraram uma limitação de cobertura do sistema, que identificou menos claramente o conteúdo malicioso do que identificaria uma instrução equivalente em inglês .
2. O sandbox: por meio da “colisão de intenção”, o agente interpretou a assinatura da newsletter como uma tarefa legítima. Com isso, ações posteriores envolvendo WhatsApp e Amazon puderam ser tratadas como parte do fluxo autorizado .
3. As confirmações do usuário: em determinados cenários, os avisos não foram acionados porque as ações foram classificadas como rotineiras, ou acabaram incorporados a fluxos automatizados do agente .

O ponto central é que o agente não precisou “quebrar” uma barreira de forma convencional. Ele recebeu permissões legítimas, mas foi levado a usá-las para uma finalidade que o usuário nunca pretendeu.

A resposta da indústria e o fim do Atlas

A apresentação da Black Hat ocorreu em um momento peculiar para a OpenAI. Em 9 de julho de 2026, a empresa já havia anunciado que o Atlas deixaria de funcionar em 9 de agosto — apenas quatro dias depois da apresentação .

A OpenAI decidiu descontinuar o Atlas como navegador independente e transferir seus recursos de navegação agentiva para o aplicativo de desktop do ChatGPT, a integração com o Chrome, o ChatGPT Work e o Codex . A página de suporte da empresa informa que, após 9 de agosto, o Atlas poderia deixar de abrir, navegar ou oferecer recursos baseados em navegador, além de não receber novas atualizações de segurança . A empresa também afirmou ter implementado correções para os problemas específicos demonstrados .

A divulgação foi coordenada com as empresas afetadas. No caso do Comet, a Perplexity corrigiu as vulnerabilidades antes da publicação dos detalhes em março . Na Black Hat, a Zenity apresentou uma visão ampliada dos problemas depois de trabalhar com os fornecedores por meio de processos de divulgação responsável .

Por que a Zenity pede barreiras determinísticas?

Para a Zenity, classificadores de segurança baseados exclusivamente em IA não são suficientes para proteger navegadores agentivos . Como esses classificadores também são modelos, podem ser confundidos por entradas adversariais, mudanças de idioma e injeções de prompt — as mesmas categorias de manipulação que viabilizam os ataques .

A recomendação dos pesquisadores é adotar barreiras determinísticas: controles rígidos, aplicados no sistema operacional ou na arquitetura do navegador, que não possam ser removidos ou contornados por uma instrução escondida no conteúdo . Entre os exemplos estão:

• Permissões obrigatórias que o agente não consiga automatizar para operações sensíveis, como enviar mensagens, acessar arquivos ou efetuar pagamentos.
• Isolamento reforçado por hardware entre os processos do agente e as credenciais do usuário.
• Confirmação por um canal separado, como biometria ou chave de segurança física, para ações que alterem contas, enviem mensagens ou iniciem transações financeiras.

A conclusão apresentada por Michael Bargury, diretor de tecnologia da Zenity, resume o alerta: “Não é possível resolver um problema determinístico de segurança com um classificador probabilístico de IA.”

O problema é de arquitetura, não apenas de atualização

O PleaseFix aponta para uma questão estrutural: navegadores agentivos precisam aprender a separar a intenção do usuário das instruções presentes em conteúdo não confiável . Como os cinco produtos testados apresentaram caminhos de exploração, a instalação de um patch específico não elimina necessariamente o risco de novas formas de colisão de intenção.

O caso do Atlas é particularmente ilustrativo porque suas diversas camadas de proteção também foram contornadas. Para que agentes de IA possam operar em escala com segurança, a conclusão da Zenity é que os navegadores e sistemas operacionais precisarão impor limites que o próprio modelo não consiga interpretar, negociar ou desativar .