Pesquisadores de segurança da empresa Zenity revelaram falhas graves em dois dos principais assistentes de inteligência artificial do mercado: o ChatGPT Atlas, versão agentiva da OpenAI, e o Claude in Chrome, extensão da Anthropic para o navegador. As vulnerabilidades permitem o que os especialistas chamam de “colisão de intenção” — uma forma de injeção de prompt em que comandos maliciosos escondidos em e-mails, posts ou páginas da internet enganam a IA e a fazem executar ações prejudiciais ao usuário sem qualquer clique ou interação.
No caso do ChatGPT Atlas, os pesquisadores demonstraram que instruções ocultas em comentários de páginas podem redirecionar o assistente para sites maliciosos. Em testes práticos, o sistema foi induzido a abrir o WhatsApp Web para enviar mensagens de phishing a contatos do usuário e a navegar até a Amazon para adicionar produtos ao carrinho e alterar o endereço de entrega — tudo sem que o usuário percebesse. O vetor de ataque é o conteúdo que a IA consome normalmente durante suas tarefas: uma vez que o modelo lê um prompt malicioso disfarçado de texto inofensivo, ele age sobre ele com a mesma autoridade que age sobre comandos legítimos.
Já no Claude in Chrome, a exploração foi ainda mais abrangente. Os pesquisadores usaram a ferramenta de execução de código embutida no assistente para extrair e-mails do Gmail, obter acesso persistente ao Google Drive e roubar contas em plataformas como Slack, X (antigo Twitter) e até o próprio Claude.ai — tudo dentro de uma única sessão autenticada. O princípio é o mesmo: a IA tem permissão para executar código e acessar serviços conectados ao navegador, e um prompt injetado em um e-mail recebido é suficiente para desencadear toda a cadeia de ações maliciosas.
A gravidade da descoberta se traduz nas respostas das empresas — ou na falta delas. A OpenAI reconheceu os riscos em fevereiro de 2026 e os descreve como uma “área contínua de trabalho”, sinalizando que não há correção simples disponível. A Anthropic adotou postura ainda mais fechada, rejeitando os relatórios enviados via HackerOne sem conceder qualquer recompensa de bug bounty. Os próprios pesquisadores da Zenity concluem que a falha não pode ser eliminada com um patch de código convencional — ela é inerente ao design de sistemas que deixam a IA ler conteúdo externo e executar ações autenticadas na mesma sessão.
O que isso significa na prática para o usuário brasileiro? Quem usa o ChatGPT padrão para gerar textos ou responder perguntas tem risco consideravelmente menor, pois o modelo não tem acesso direto ao e-mail ou às contas do usuário. O perigo cresce proporcionalmente ao uso de versões agentivas — aquelas que conectam a IA ao e-mail, ao navegador, ao calendário ou a aplicativos externos. À medida que esse tipo de integração se populariza, a superfície de ataque se expande. O caso reforça a necessidade de cautela ao conceder permissões amplas a qualquer assistente de IA, independentemente do provedor.
