Pesquisadores da Zenity Labs acenderam um alerta vermelho sobre a segurança de navegadores que utilizam agentes de Inteligência Artificial integrados. Segundo o estudo, falhas estruturais nesses sistemas permitem que hackers operem de forma furtiva, transformando assistentes de produtividade em ferramentas de espionagem.
Um dos casos mais emblemáticos foi o do navegador Comet, da Perplexity. Uma vulnerabilidade (recentemente corrigida) permitia que invasores realizassem a chamada “injeção de prompt” utilizando convites de aplicativos de calendário, como o Google Agenda.
O Problema da Confiança Cega
De acordo com Stav Cohen, pesquisador sênior da Zenity, o risco não está em um aplicativo isolado, mas no próprio modelo de execução das IAs atuais. O grande gargalo é a incapacidade dos navegadores de distinguir entre uma instrução legítima dada pelo dono do PC e um comando externo malicioso disfarçado de conteúdo comum.
“A separação entre a intenção do usuário e a execução do agente de IA tornou-se uma preocupação de segurança crítica”, afirma Cohen.
Como o Ataque Acontece na Prática
O método identificado não exige a instalação de malwares tradicionais. O processo funciona da seguinte forma:
- O usuário recebe um convite de e-mail ou calendário.
- Ao processar o convite, o navegador de IA lê instruções ocultas (prompts maliciosos).
- O agente de IA, interpretando aquilo como uma ordem válida, executa ações como abrir arquivos do sistema, ler dados privados e enviá-los para servidores de terceiros.
Em cenários mais graves, os atacantes conseguiram manipular o gerenciador de senhas do navegador. Se o usuário estivesse logado, a IA era induzida a alterar configurações e extrair credenciais sigilosas sem gerar qualquer alerta visível no computador.
Um Desafio Sem Solução Definitiva?
Embora a Perplexity tenha corrigido as brechas específicas em fevereiro de 2026, o problema maior persiste. A própria OpenAI já admitiu que injeções de prompt são extremamente difíceis de erradicar totalmente.
Como a natureza dos assistentes pessoais exige permissões de alto nível para serem úteis, qualquer texto lido pela IA — seja um site, um e-mail ou um documento — pode, teoricamente, ser usado para sequestrar o comportamento do sistema.
