Tem uma pesquisa saindo da Black Hat, em Las Vegas, que é daquelas que dá um nó no estômago de quem trabalha com IA. Pesquisadores da Zenity mostraram que o Atlas, navegador com inteligência artificial da OpenAI, podia ser manipulado para invadir sua conta do WhatsApp e disparar mensagens para todos os seus contatos. Olha que coisa interessante: nem precisou de uma falha no próprio WhatsApp.
O problema mora em como esses navegadores agentivos funcionam. Eles navegam por páginas, resumem conteúdo e até tomam ações sozinhos, tipo preencher formulários ou fazer login em serviços. O detalhe é que a internet é um território cheio de conteúdo não confiável, e dar autonomia para um sistema de IA nesse ambiente é como entregar as chaves do carro para alguém que ainda não aprendeu a separar uma placa de trânsito de um outdoor.
Foi exatamente isso que aconteceu no experimento. Os pesquisadores publicaram um link de cadastro de newsletter no X. Dentro da página, escondidas em hebraico para escapar dos filtros de segurança em inglês, havia instruções dizendo para o agente abrir a sessão logada do WhatsApp Web e mandar a mesma mensagem para cada contato. Michael Bargury, CTO da Zenity, chama isso de worm: a cada conta infectada, a próxima rodada de contatos recebe o convite e propaga o ataque adiante.
Eles zeraram os controles de segurança dos navegadores, estamos de volta aos ataques que víamos há 20 anos.
O termo técnico para esse tipo de confusão é intent collision, quando o agente mistura o pedido real do usuário com uma ordem maliciosa escondida na página. É como se um assistente pessoal recebesse um bilhete anônimo colado na porta e tratasse aquilo como instrução direta do chefe.
No segundo teste, com a Amazon, o time conseguiu fazer o Atlas cadastrar um endereço de entrega e colocar um tablet no carrinho usando o mesmo truque da newsletter. Só que na hora de fechar a compra, as proteções da OpenAI seguraram a jogada. A saída encontrada foi outra: pedir para o próprio assistente de compras da Amazon, o Rufus, finalizar o pedido. Rufus não foi hackeado, simplesmente atendeu ao pedido de quem ele achou ser o cliente.
Entre os cerca de vinte problemas encontrados em produtos de empresas como Google, Anthropic, Microsoft e Perplexity, o Atlas foi, segundo os pesquisadores, o que tinha mais barreiras de segurança. Mesmo assim, deu para furar. A OpenAI já havia sido notificada em janeiro, e o Atlas está sendo descontinuado na próxima semana, conforme apurado pelo TechCrunch.
O recado por trás do benchmark informal da Zenity é simples: navegadores com IA ainda tratam a web como um lugar confiável, e isso é um problema de segurança que ninguém resolveu de verdade ainda.
Fonte: https://www.wired.com/story/openais-browser-could-be-hijacked-to-spam-your-whatsapp-contacts/