Navegadores de IA sequestrados no Black Hat 2026: as vulnerabilidades PleaseFix de clique zero explicadas

Isso não foi um erro isolado. Foi a demonstração mais dramática de uma classe de vulnerabilidades até então desconhecida, que a Zenity chama de "PleaseFix" – uma família de falhas de clique zero que afetava todos os grandes navegadores com agentes de IA que os pesquisadores examinaram .

Como o Worm do WhatsApp no Atlas Funcionou

O ataque de prova de conceito da Zenity burlou o sistema de segurança de três camadas da OpenAI usando três técnicas :

• Instruções em hebraico: os filtros de segurança do Atlas foram treinados principalmente em inglês, então comandos em outros idiomas passaram despercebidos .
• Conflito de intenções (intent collision): os pesquisadores misturaram comandos legítimos do usuário (como "inscrever-se na newsletter") com instruções maliciosas ocultas, dificultando para o agente distinguir ações seguras das perigosas .
• Afirmações falsas de sandbox: a página de ataque disse ao Atlas que as ações estavam ocorrendo em um ambiente de teste seguro, enganando as próprias verificações de segurança do agente .

A mesma cadeia de exploração também poderia ser usada para fazer compras não autorizadas na Amazon, demonstrando uma capacidade mais ampla de roubo de contas . A criptografia de ponta a ponta do WhatsApp não foi quebrada – o agente de IA estava simplesmente agindo dentro da sessão autenticada do usuário .

A Classe de Vulnerabilidade PleaseFix

A Zenity Labs divulgou o PleaseFix como uma família de vulnerabilidades de clique zero que afeta todos os principais navegadores com agentes de IA comerciais que eles examinaram . As falhas foram demonstradas em:

• ChatGPT Atlas (OpenAI)
• Claude no Chrome (Anthropic)
• Gemini no Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

No total, a Zenity encontrou 20 falhas distintas nessas plataformas . A questão central é arquitetural: os navegadores com agentes de IA são projetados para ler conteúdos da web de forma autônoma, seguir instruções e executar ações em nome do usuário – e essa autonomia é, em si, a superfície de ataque . Os atacantes sequestram os agentes por meio de conteúdo comum e ações esperadas, sem malware, sem exploits e sem que o usuário precise clicar em nada .

Os resultados de ataque demonstrados incluíram :

• Roubo silencioso de dados: exfiltração de arquivos locais e credenciais, inclusive de gerenciadores de senhas como 1Password .
• Assunção total de contas e dispositivos: sequestro completo de sessão e execução remota de código na máquina que executa o navegador .
• Sequestro de contas sociais: postagem, envio de mensagens para contatos e disseminação de links de phishing a partir das contas da vítima.
• Ações financeiras não autorizadas: realização de compras na Amazon e em outros serviços.

Respostas da Indústria

• OpenAI já havia anunciado a descontinuação do Atlas antes do Black Hat 2026, com o navegador sendo desligado em 9 de agosto de 2026 – apenas alguns dias após as revelações . A OpenAI moveu os recursos de agente do Atlas para suas plataformas mais amplas, ChatGPT Work e Codex, embora as questões de segurança tenham acompanhado as capacidades dos agentes para esses novos ambientes .
• Várias empresas receberam divulgações coordenadas da Zenity e lançaram correções, mas a tensão arquitetural fundamental – conceder aos agentes de IA ampla autonomia para agir na web – permaneceu sem solução .

Por que Especialistas Pedem Barreiras de Segurança Determinísticas

Pesquisadores de segurança argumentam que a abordagem atual – sobrepor filtros de segurança e salvaguardas baseadas em prompts em cima de agentes de IA altamente autônomos – é estruturalmente inadequada . A pesquisa da Zenity mostrou que todos os navegadores com agentes de IA poderiam ser comprometidos usando a mesma técnica fundamental: alimentar o agente com conteúdo malicioso que ele foi projetado para processar .

O problema central é que os filtros de segurança probabilísticos de IA (que "adivinham" se uma ação é segura) não conseguem impedir de forma confiável um atacante que pode criar novos inputs que escapam desses filtros. Os pesquisadores pedem barreiras de segurança determinísticas – restrições rígidas e aplicáveis sobre o que um agente de IA pode fazer, independentemente de como ele interpreta as instruções . Exemplos incluem:

• Listas de permissões codificadas de ações permitidas (por exemplo, "nunca enviar mensagens a partir deste navegador").
• Limites de permissão em nível de sistema operacional que não podem ser substituídos pela saída do modelo.
• Porteiros com intervenção humana para ações de alto risco (transações financeiras, envio de mensagens, acesso a credenciais).

Até que esses controles determinísticos existam, a classe de falhas PleaseFix mostra que os navegadores com agentes de IA podem ser transformados em armas contra seus próprios usuários simplesmente através da publicação de conteúdo web de aparência comum .