Investigadores da empresa de segurança Zenity revelaram, na conferência Black Hat USA 2026, uma nova classe de vulnerabilidades que permite sequestrar os agentes de inteligência artificial integrados nos navegadores mais populares — entre eles o ChatGPT Atlas da OpenAI e o Claude in Chrome da Anthropic — sem que a vítima precise de clicar em nada. Segundo a Zenity Labs,
A técnica, batizada de PleaseFix, explora a forma como estes agentes leem conteúdos de várias fontes e não conseguem distinguir de forma fiável instruções legítimas do utilizador de comandos maliciosos escondidos em e-mails, publicações em redes sociais ou convites de calendário.
Resposta rápida: A Zenity demonstrou ataques “zero-click” contra vários navegadores com IA. Um simples e-mail ou uma ligação numa publicação bastam para que o agente exfiltre dados, partilhe ficheiros e assuma o controlo de contas, usando a identidade e as permissões do próprio utilizador. Não há correção fácil, porque a falha reside no modelo de confiança destes navegadores. Se usa navegadores agênticos, evite manter sessões sensíveis (banco, e-mail) abertas quando o agente atua e limite as permissões concedidas.
O que são navegadores agênticos e porque mudam as regras do jogo
Ao contrário dos navegadores tradicionais, que se limitam a apresentar páginas, os navegadores com IA — ou agênticos — vão mais longe: interpretam instruções e executam tarefas de forma autónoma em várias aplicações. Estes agentes de IA foram concebidos para ler informação de múltiplas fontes, incluindo e-mails, sites, calendários e ficheiros, e agir em nome dos utilizadores.
O problema central é estrutural. Os navegadores agênticos introduzem uma mudança fundamental no modelo de segurança do browser: ao permitir que o agente de IA raciocine a partir de diferentes fontes dentro de uma única sessão, quebram o princípio de mesma origem (Same-Origin Policy) e operam dentro de sessões autenticadas com acesso a e-mail, ficheiros, calendários e outros serviços ligados. Na prática, isto permite que instruções maliciosas numa página não confiável levem o agente a executar ações noutros sites onde o utilizador está autenticado.
“Intent Collision”: a técnica que confunde o agente
O mecanismo-chave chama-se Intent Collision (colisão de intenções). O investigador Stav Cohen identificou este mecanismo como o momento em que um agente funde uma instrução legítima do utilizador com conteúdo web controlado pelo atacante num único plano de execução, sem forma fiável de distinguir qual é qual. Por outras palavras, um prompt malicioso escondido num e-mail, publicação ou comentário pode entrar em conflito com o pedido original do utilizador, levando o agente a priorizar as instruções do atacante e a conceder-lhe acesso a tudo o que o utilizador autorizou o navegador a fazer.
A Zenity distingue esta abordagem de técnicas de engenharia social já conhecidas. Ao contrário do “ClickFix” — em que um falso erro leva o utilizador a colar um comando e a tornar-se ele próprio a vulnerabilidade —, o “PleaseFix” é o que acontece quando o humano deixa de estar no circuito: os navegadores agênticos atuam autonomamente, lendo conteúdo e executando tarefas sem um clique a cada passo, e o ataque explora diretamente esse modelo.
Ataques demonstrados: do Gmail à Amazon
Os investigadores mostraram cenários concretos para cada navegador. No caso do Claude in Chrome, a Zenity transformou a ferramenta interna javascript_tool do Claude num instrumento de XSS ao serviço do atacante, capaz de executar código arbitrário em qualquer site que o agente visite; a partir de um único e-mail malicioso, um pedido banal de resumo de correio desencadeou um ataque que exfiltrou dados do Gmail, partilhou silenciosamente todo o Google Drive da vítima com o atacante e permitiu a tomada de controlo das contas de Slack, X e Claude. Este encadeamento teve sucesso mesmo quando os utilizadores tinham ativado pedidos de confirmação antes de ações sensíveis.
No ChatGPT Atlas, o vetor foi ainda mais discreto. Ao explorar a “colisão de intenções” através de um único comentário plantado numa thread do X, os investigadores demonstraram como um atacante pode sequestrar pedidos benignos e controlar o agente em várias sessões autenticadas; como os navegadores agênticos como o Atlas quebram a Same-Origin Policy por design, atuando como uma entidade única sobre vários separadores autenticados, ressuscitam efetivamente o cross-site request forgery (CSRF). Num segundo cenário, o Atlas foi conduzido à Amazon, adicionou artigos ao carrinho e alterou a morada de envio para a do atacante; para contornar as restrições que o impediam de clicar no botão final de compra, o Atlas instruiu o assistente de IA da Amazon, o Rufus, a colocar a encomenda.
A lista de plataformas afetadas é ampla. A investigação identificou as vulnerabilidades “PleaseFix” em navegadores agênticos incluindo o Claude in Chrome, o Gemini in Chrome, o Perplexity Comet, o ChatGPT Atlas e o Copilot Edge da Microsoft.
Cronologia e estado das correções
| Data | Acontecimento |
|---|---|
| Outubro 2025 | Zenity comunica a falha à Perplexity (Comet) |
| Março 2026 | Divulgação pública inicial do “PleaseFix” centrada no Perplexity Comet |
| Janeiro 2026 | Zenity comunica as conclusões sobre o ChatGPT Atlas à OpenAI |
| Black Hat USA 2026 | Apresentação do alcance total do “PleaseFix” em vários navegadores |
Quanto ao Perplexity Comet, a Zenity divulgou responsavelmente a vulnerabilidade à Perplexity em outubro de 2025, os exploits específicos demonstrados já não funcionam no Comet, mas a classe de vulnerabilidade subjacente — a falha de confiança do agente — continua a ser uma área ativa de preocupação em todas as implementações de navegadores agênticos. Já no que toca à Anthropic e à OpenAI, a Zenity reportou as conclusões no final de 2025 e início de 2026, mas estas permaneciam por corrigir à data da divulgação. No caso do Atlas, a OpenAI reconheceu o relatório, mas não existe uma correção fácil porque o exploit depende da capacidade central e intencional de um navegador agêntico: ler conteúdo web e agir sobre ele em domínios autenticados.
A própria OpenAI já tinha admitido, num documento técnico de dezembro de 2025, que a injeção de prompt “provavelmente nunca será totalmente resolvida”. A empresa aposta em reforçar o Atlas com red-teaming automatizado treinado por aprendizagem por reforço, um ciclo proativo de descoberta e correção que ajuda a identificar exploits novos mais cedo.
Como reduzir o risco
Como a raiz do problema é o modelo de confiança e não um bug isolado, as medidas passam sobretudo por reduzir o alcance de um eventual sequestro:
- Evitar manter sessões sensíveis (banca, e-mail corporativo, gestores de palavras-passe) abertas enquanto o agente executa tarefas.
- Usar modos “sem sessão” ou “logged out” quando o agente apenas precisa de fazer pesquisa, sem acesso autenticado.
- Estabelecer controlos de governação que reduzam o “raio de explosão” de um sequestro, limitando as autorizações OAuth do agente ao mínimo necessário e revendo-as com regularidade, em vez de conceder permissões amplas e persistentes.
- Manter os navegadores agênticos atualizados e questionar os fabricantes sobre a sua postura de segurança face à injeção indireta de prompts.
Porque é que isto importa em Portugal
Para cidadãos, PME e organizações em Portugal, o alerta é oportuno num momento de adoção acelerada de assistentes de IA. Se um agente é sequestrado enquanto está autenticado no e-mail ou em aplicações de trabalho, o atacante herda esse acesso — o que pode traduzir-se numa violação de dados pessoais com implicações ao abrigo do RGPD, incluindo eventuais obrigações de notificação à CNPD e aos titulares.
Do lado das organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a introdução de ferramentas agênticas deve ser enquadrada na gestão de risco e na segurança da cadeia de fornecimento. O CNCS e o CERT.PT servem de ponto de contacto para reporte de incidentes e disponibilizam recomendações que, embora anteriores a esta categoria específica de ataques, reforçam a lógica de minimizar privilégios e limitar danos.
Perguntas frequentes
O que é um ataque “zero-click” num navegador com IA?
É um ataque que não exige qualquer clique nem aprovação da vítima. Basta que o agente de IA leia um conteúdo aparentemente inofensivo — um e-mail, um comentário numa rede social ou um convite de calendário — com instruções maliciosas escondidas, que o agente executa como se fizessem parte da tarefa legítima.
O ChatGPT Atlas e o Claude já foram corrigidos?
À data da divulgação, a Zenity indicou que reportou as falhas à Anthropic e à OpenAI, mas que estas permaneciam por corrigir. A OpenAI reconheceu o relatório do Atlas, embora não exista uma correção simples, uma vez que a falha depende da capacidade central destes navegadores.
Que navegadores estão afetados?
A Zenity identificou a classe de vulnerabilidades “PleaseFix” em navegadores agênticos incluindo o Claude in Chrome, o Gemini in Chrome, o Perplexity Comet, o ChatGPT Atlas e o Copilot Edge da Microsoft.
Como me posso proteger?
Evite manter sessões sensíveis abertas enquanto o agente atua, use modos sem autenticação para tarefas de pesquisa, limite as permissões concedidas ao agente e mantenha o navegador atualizado. Nas organizações, restrinja as autorizações ao mínimo necessário e reveja-as periodicamente.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Zenity Labs, pela Cloud Security Alliance, pela OpenAI e por relatos de imprensa especializada.