Pesquisadores invadem o navegador OpenAI Atlas e fazem uma compra na Amazon sem o conhecimento do usuário

Pesquisadores da Zenity descobriram mais de 12 vulnerabilidades em navegadores com IA e mostraram na prática que o navegador OpenAI Atlas pode ser forçado a fazer uma compra não autorizada na Amazon e a enviar spam a todos os contatos do usuário no WhatsApp, sem que ele saiba ou consinta.

O que a Zenity encontrou

A Zenity, especializada em segurança de agentes de IA, realizou uma auditoria sistemática em vários navegadores com IA, ferramentas de nova geração que permitem aos modelos de linguagem agir sozinhos na internet: clicar, preencher formulários, fazer compras e enviar mensagens. Segundo a Wired, é justamente essa autonomia que se tornou a principal vulnerabilidade.

• Mais de 12 vulnerabilidades identificadas em diferentes navegadores com IA
• Um dos principais alvos dos testes: o OpenAI Atlas
• Demonstração de invasão: compra não autorizada de um produto na Amazon
• Segundo vetor: envio em massa de spam aos contatos do usuário pelo WhatsApp
• A pesquisa foi publicada na Wired pela Zenity

Como um navegador com IA é sequestrado

O Atlas é o navegador com IA da OpenAI, capaz de operar páginas da web como uma pessoa: ver o conteúdo, clicar em botões, inserir dados e executar tarefas em várias etapas. Os pesquisadores da Zenity usaram contra ele a técnica de prompt injection, que consiste em inserir instruções externas por meio de conteúdo malicioso em uma página da web.

Ao acessar um site preparado para o ataque, o Atlas lia instruções ocultas como se fossem comandos confiáveis do usuário e as executava. No cenário de demonstração, o navegador fez um pedido real na Amazon enquanto o usuário não suspeitava de nada. O ataque roda em segundo plano: o agente de IA é autônomo por natureza, e o usuário pode não perceber a ação suspeita a tempo.

"Agentes de IA agem em nome do usuário e têm acesso às suas contas, por isso as vulnerabilidades neles são mais perigosas do que em softwares comuns", afirmam os pesquisadores da

Zenity em seu relatório, publicado pela Wired.

Spam pelo WhatsApp: uma ameaça real para os contatos

O segundo cenário demonstrado já não ameaça o bolso, e sim a reputação. O atacante leva o navegador com IA a disparar spam pelo WhatsApp para toda a lista de contatos do usuário. Para quem recebe, a mensagem parece vir de um conhecido, o que cria condições ideais para phishing.

Enquanto isso, o dono do navegador comprometido pode demorar a perceber que seu agente enviou mensagens indesejadas. Se o WhatsApp tem algumas centenas de contatos, o ataque atinge instantaneamente um grande número de pessoas, tudo isso sem que a vítima dê um único clique.

O que isso significa

Navegadores com IA são uma classe de software radicalmente nova, e os padrões de segurança para eles ainda não se consolidaram. A pesquisa da Zenity mostra que a velocidade de lançamento dos produtos supera o trabalho de proteção. Enquanto a OpenAI e outras desenvolvedoras ampliam os recursos de seus agentes, a resistência desses agentes a manipulações externas continua sendo uma questão em aberto. Os usuários devem ter cautela ao conceder permissões amplas a navegadores com IA, especialmente acesso a contas financeiras e aplicativos de mensagens.

Perguntas frequentes

O que é prompt injection em navegadores com IA?

Prompt injection é um ataque em que instruções maliciosas são inseridas por meio de dados processados pelo agente de IA durante o trabalho (por exemplo, texto oculto em uma página da web). O agente as interpreta como comandos confiáveis do usuário e executa ações que ele não pediu, incluindo compras e envio de mensagens.

O OpenAI Atlas pode mesmo debitar dinheiro sem permissão?

Sim, foi exatamente isso que os pesquisadores da Zenity demonstraram: o navegador fez um pedido real na Amazon durante um experimento controlado. O ataque é possível quando o agente tem acesso a uma conta com dados de pagamento salvos.

*A Meta foi reconhecida como organização extremista e é proibida na Rússia.