A Black Hat sempre foi aquele palco onde o que parecia ficção científica vira realidade em tempo real. 😅
E na edição de 2026, o assunto que dominou os corredores foi um só: os agentes de IA que você usa no dia a dia podem estar te expondo de formas que você nem imagina.
Não estamos falando de um cenário distante ou puramente teórico. Estamos falando de ferramentas que empresas como OpenAI, Anthropic e Google vêm promovendo pesado desde o ano passado, aquelas que reservam voos, navegam por sites, abrem arquivos, checam e-mails, preenchem formulários e agendam compromissos por você.
Essas conexões são práticas, rápidas e fazem total sentido para quem quer ganhar tempo. Só que existe um detalhe que costuma passar batido: cada permissão que você concede a um agente é também uma porta que, se mal explorada, pode ser usada contra você.
Dois estudos apresentados durante a conferência jogaram luz exatamente sobre isso, mostrando na prática como técnicas de manipulação de dados e exploração de permissões de acesso podem transformar uma ferramenta útil em um vetor de ataque sofisticado. E o mais preocupante: sem que você precise clicar em nada suspeito.
A questão que fica é simples: você sabe o que os seus agentes podem fazer com o que você já autorizou?
Por que dar acesso a um agente é tão conveniente (e tão arriscado)
Vamos ser justos aqui. Conectar uma inteligência artificial para executar tarefas é uma mão na roda. No Outlook ou no Gmail, por exemplo, você pode pedir para ela buscar um e-mail específico ou resumir as mensagens pendentes. Dar acesso ao Google Drive ajuda a encontrar e analisar documentos, e habilitar o calendário permite organizar reuniões sem esforço.
Você também pode ir além e conceder acesso ao próprio sistema operacional para gerenciar arquivos. O problema é que, como quase tudo na vida, essa comodidade pode cobrar um preço alto lá na frente.
Foi exatamente isso que dois estudos demonstraram durante a Black Hat USA 2026, uma das conferências de segurança cibernética mais importantes do mundo. Eles colocaram na mesa o que pode acontecer quando essas capacidades são manipuladas por alguém mal-intencionado.
Em um deles, pesquisadores da Zenity conseguiram esconder instruções dentro de conteúdos do dia a dia, desde um comentário em rede social até um convite de calendário, para desviar navegadores equipados com agentes de IA e fazê-los agir contra os próprios usuários.
- E-BOOK GRATUITO
Um guia prático para avaliar, comparar e implementar inteligência artificial com clareza — sem desperdício de tempo ou dinheiro.
Pare de contratar ferramentas sem direção. Criamos um método estruturado para decidir qual IA realmente faz sentido para o seu negócio.
Entrega em PDF no seu e-mail · Sem spam · LGPD
🔒 Seus dados são protegidos conforme a LGPD. Você pode descadastrar a qualquer momento.
O outro, apresentado pela Palo Alto Networks, encontrou um caminho diferente. Uma planilha manipulada permitiu tomar o controle do ambiente protegido onde o ChatGPT processa arquivos e, a partir dali, alterar a tarefa que o sistema estava executando.
Os dois trabalhos partem de técnicas distintas, mas acabam esbarrando no mesmo problema: quanto mais um agente pode fazer em nome de uma pessoa, mais dano ele pode causar se alguém conseguir manipulá-lo.
Vale destacar que essa discussão atravessou boa parte da Black Hat e também da DEF CON, as duas grandes conferências que formam o chamado Hacker Summer Camp de Las Vegas, onde a inteligência artificial apareceu tanto como ferramenta para encontrar vulnerabilidades quanto como uma nova superfície de ataque.
Um simples comentário pode desviar um agente inteiro
Na explicação de Stav Cohen, pesquisador da equipe de segurança de IA da Zenity, o cenário mudou bastante. No mundo anterior, um ataque normalmente exigia que você fizesse algo arriscado, como clicar em um link malicioso, baixar um arquivo, digitar sua senha em uma página falsa ou aprovar uma permissão duvidosa. O chamado zero-click significa que essa etapa simplesmente desaparece.
A pesquisa, batizada de Pwning Agentic Browsers with PleaseFix: A New Vulnerability Class for 0-Click Takeover, estudou uma nova geração de navegadores que incorporam agentes capazes de realizar tarefas de forma autônoma. A própria OpenAI lançou um no ano passado, que acabou sendo descontinuado.
Num navegador tradicional, como Chrome, Edge ou Safari, é você quem decide qual página abrir, onde clicar, qual formulário preencher ou qual mensagem enviar. Já um navegador agêntico recebe um objetivo, como reservar um voo ou assinar um serviço, e executa os passos necessários sozinho.
Onde mora o perigo dessa autonomia
O problema surge porque, para executar essas tarefas, o agente também precisa ler o conteúdo que encontra pelo caminho. É aí que um atacante consegue introduzir instruções destinadas à inteligência artificial, uma técnica conhecida como indirect prompt injection. A ordem maliciosa não vem diretamente do usuário, mas escondida dentro de uma página, um e-mail, um documento ou qualquer outro conteúdo processado pelo agente.
Como Cohen resumiu, os atacantes escondem instruções dentro do conteúdo que o agente lê, e o agente não consegue distinguir de forma confiável entre o conteúdo que ele foi pedido para analisar e as instruções escondidas dentro dele.
Os pesquisadores nomearam essa classe de ataque como PleaseFix e desenvolveram uma técnica chamada Intent Collision, que mistura a tarefa legítima solicitada pelo usuário com a intenção introduzida pelo atacante.
Uma das demonstrações partiu de uma situação banal. Os pesquisadores deixaram instruções escondidas dentro de um comentário no X (antigo Twitter), embaixo de um post sobre uma newsletter. Quando a vítima pediu ao navegador para se inscrever, o agente também leu o comentário.
A partir daí, eles conseguiram fazer a inteligência artificial abandonar a tarefa original, entrar na Amazon, modificar o endereço de entrega e realizar compras enviadas para o endereço do atacante. Em outra versão, o agente abriu o WhatsApp e enviou mensagens para os contatos da vítima.
O caso mais assustador envolveu senhas
O alcance dos ataques cresce porque esses navegadores conseguem usar as sessões que a pessoa já tem abertas. Nos testes, a Zenity conseguiu assumir o controle de contas do Slack, X, 1Password e Claude, acessar informações do Gmail e do Google Drive, usar o WhatsApp para enviar mensagens e a Amazon para fazer compras.
Um dos exemplos mais sensíveis envolveu justamente o 1Password, um gerenciador de senhas. Os pesquisadores conseguiram fazer o agente usar a própria extensão da vítima para entregar o cofre de senhas ao atacante e, em seguida, bloquear o usuário legítimo do próprio acesso.
Eles também iniciaram um procedimento de recuperação de senha em um serviço, fizeram o agente buscar automaticamente o e-mail de recuperação e completaram a troca de senha a partir da mesma sessão. Tudo de forma automatizada, porque é isso que diferencia um agente de um simples chatbot de IA.
Segundo a equipe, um navegador tradicional é apenas um visualizador. Toda a segurança da web foi construída em cima da premissa de que um humano é quem toma as decisões. Um navegador agêntico substitui esse humano por um agente de IA que decide por você, como se fosse você, em todos os sites onde há sessão ativa.
Para Cohen, a única defesa que realmente funcionou foi aquela sobre a qual o modelo não tinha poder de decisão. A recomendação é estabelecer limites explícitos nos recursos que um agente pode alcançar e exigir intervenção humana para ações sensíveis específicas.
Quebrando o cofre onde o ChatGPT abre seus arquivos
A outra pesquisa, da Palo Alto Networks, partiu de um cenário diferente: o que acontece nos bastidores quando um usuário sobe um arquivo para o ChatGPT e pede uma análise. Algo que virou rotina, já que é comum alguém subir registros médicos ou pedir a análise de arquivos contábeis.
O trabalho foi apresentado por Simcha Kosman, pesquisador da empresa. Sherrod DeGrippo, vice-presidente de Threat Intelligence da Unit 42, explicou o alcance do ataque.
Quando o ChatGPT precisa analisar uma planilha ou fazer cálculos, ele usa um espaço temporário isolado conhecido como sandbox. Dá pra pensar nisso como uma sala trancada onde o sistema executa o trabalho sem que nada afete o restante da infraestrutura. Como resumiu DeGrippo, cada sandbox precisa ser isolado, como uma sala fechada separada.
Receba o melhor conteúdo de inovação em seu e-mail
Todas as notícias, dicas, tendências e recursos que você procura entregues na sua caixa de entrada.
Ao assinar a newsletter, você concorda em receber comunicações da Método Viral. A gente se compromete a sempre proteger e respeitar sua privacidade.
Como o cofre foi arrombado
Os pesquisadores prepararam uma planilha de Excel especialmente manipulada que permitiu tomar o controle desse ambiente. Uma vez lá dentro, encontraram uma forma de alterar as instruções que o ChatGPT recebia durante a tarefa, fazendo o sistema buscar informações que a pessoa nunca havia pedido.
E aqui a questão das permissões de acesso reaparece com força. Se o usuário tivesse conectado seu e-mail, armazenamento em nuvem ou outro serviço ao ChatGPT, o atacante poderia potencialmente solicitar informações desse serviço, dentro dos limites das permissões concedidas.
O ataque não equivalia a roubar a senha do ChatGPT, nem abria automaticamente todas as conversas de uma conta. O que ele fazia era explorar capacidades que o sistema já tinha disponíveis. O ChatGPT é projetado para que uma conversa não leia o texto de outra, mas, uma vez que o ambiente foi comprometido, o atacante pôde usar as capacidades de nível de conta que o usuário já havia autorizado.
Restava um obstáculo: mesmo acessando informações, o sandbox era desenhado para impedir o envio livre de dados para a internet. A equipe então descobriu um mecanismo interno compartilhado entre ambientes e o usou como um canal rudimentar de transmissão. DeGrippo comparou o processo a mandar uma mensagem em código Morse, através de uma sucessão de estados que representavam uns e zeros.
A boa notícia é que a Palo Alto Networks reportou a vulnerabilidade à OpenAI antes de divulgá-la publicamente, e a empresa eliminou o mecanismo compartilhado que permitia essa comunicação. A técnica específica não pode mais ser usada daquela forma.
O que isso significa para quem usa agentes no dia a dia
A discussão levantada na Black Hat não é um argumento contra o uso de agentes de IA. Essas ferramentas têm valor real, economizam tempo e ajudam a organizar fluxos de trabalho que seriam impossíveis de gerenciar manualmente. O ponto é que o uso consciente delas exige uma revisão periódica das permissões de acesso que você já concedeu.
Plataformas como Google, Microsoft e Apple permitem visualizar e revogar acessos a qualquer momento, e fazer isso regularmente é uma das formas mais diretas de reduzir a exposição ao tipo de manipulação de dados demonstrado nas pesquisas. DeGrippo recomendou tratar essas conexões como permissões de qualquer aplicativo poderoso: habilite só o necessário, conceda o menor nível de acesso possível e revise periodicamente quais serviços continuam conectados.
Outro aspecto relevante é entender que o risco não está apenas nos agentes de terceiros, mas nos dados que eles processam. Um documento recebido de uma fonte desconhecida, processado por um agente com acesso amplo ao seu ambiente digital, já representa um vetor de entrada possível. A segurança cibernética nesse contexto começa a se parecer menos com antivírus e mais com higiene digital: saber o que entra, o que sai e quem tem permissão para tocar no quê.
Os agentes de IA prometem simplificar etapas, buscar, decidir e executar tarefas para aliviar aquele trabalho pesado e chato. Os dois estudos da Black Hat mostraram o outro lado dessa comodidade: quanto mais acesso os agentes recebem, maior o risco envolvido. A conveniência sempre tem um preço, e a era da IA usada para tudo está apenas começando a mostrar os seus riscos. 🚨
