Um e-mail comum chega à sua caixa de entrada. Nenhum link suspeito, nenhum anexo executável, nenhum pop-up pedindo para você clicar em algo. Você nem precisa abri-lo — basta que o assistente de IA do seu navegador o leia, como faz rotineiramente para resumir sua caixa de entrada. Minutos depois, esse mesmo assistente está exportando planilhas do Google Drive, autorizando acessos no Slack e usando extensões de gerenciador de senhas desbloqueadas para roubar credenciais, tudo em seu nome, com suas permissões, sem que você tenha clicado em absolutamente nada.
Esse é o cenário que pesquisadores da Zenity Labs demonstraram publicamente em agosto de 2026, ao expor o escopo completo de uma classe de vulnerabilidades batizada de “PleaseFix”. Não se trata de um bug isolado em um único produto, mas de uma falha estrutural que atravessa cinco dos principais navegadores agênticos do mercado — ferramentas que combinam um navegador tradicional com um agente de inteligência artificial capaz de ler páginas, preencher formulários, gerenciar contas e executar tarefas em nome do usuário. O caso importa menos pelo número de produtos afetados e mais pelo que revela: a arquitetura de segurança que protegeu a web por duas décadas simplesmente não foi desenhada para agentes que leem e agem ao mesmo tempo.
O que é PleaseFix, exatamente
PleaseFix não é uma única falha de software com um único patch possível. É uma classe de vulnerabilidades — a Zenity Labs preferiu o termo “vulnerability class” — documentada em duas etapas. A primeira divulgação, em 3 de março de 2026, tratava especificamente do navegador Comet, da Perplexity, e da técnica que a empresa apelidou de “PerplexedBrowser”. A segunda, divulgada em 5 de agosto de 2026 e apresentada na conferência Black Hat USA 2026 em uma sessão intitulada “Pwning Agentic Browsers with PleaseFix: A New Vulnerability Class for 0-Click Takeover”, ampliou o escopo para mostrar que o mesmo padrão de falha se repetia, com variações específicas de implementação, em cinco navegadores agênticos distintos: Claude in Chrome (Anthropic), Gemini in Chrome (Google), Perplexity Comet, ChatGPT Atlas (OpenAI) e Copilot Edge (Microsoft).
Divulgação responsável — o processo pelo qual pesquisadores de segurança notificam fabricantes antes de tornar uma falha pública — foi seguida com todas as cinco empresas, segundo a Zenity. As respostas variaram: algumas lançaram mitigações pontuais, enquanto outras, segundo a empresa, classificaram parte dos achados como comportamento pretendido do produto, não como falha a ser corrigida. Não há um identificador CVE unificado associado a PleaseFix, o que é coerente com sua natureza: mais do que uma vulnerabilidade técnica específica em um software, ela expõe um problema de design compartilhado por uma categoria inteira de produtos.
A raiz do problema: a IA não separa dado de instrução
Para entender por que a mesma falha aparece em produtos construídos por empresas diferentes, com bases de código diferentes, é preciso entender como um navegador agêntico processa informação. Um navegador tradicional renderiza uma página e espera que o usuário clique, digite ou role a tela — toda ação relevante nasce de uma decisão humana explícita. Um navegador agêntico adiciona uma camada intermediária: um modelo de linguagem que lê o conteúdo da página (ou de um e-mail, ou de um convite de calendário) e decide, de forma autônoma, quais ações tomar para cumprir o objetivo que o usuário pediu — “resuma minha caixa de entrada”, “compre esse produto”, “organize minha agenda”.
O problema é que, para o modelo de linguagem, texto é texto. Ele não possui, por padrão, uma fronteira confiável entre “isto é uma instrução legítima do meu usuário” e “isto é conteúdo de terceiros que devo apenas ler e reportar”. Se um atacante inserir, dentro de um e-mail, de um convite de calendário ou de uma página web qualquer, uma frase formatada como se fosse uma instrução — por exemplo, texto invisível ao olho humano (branco sobre fundo branco, fonte de tamanho zero, ou embutido em metadados que a interface não exibe, mas que o modelo processa integralmente) —, o agente pode interpretar aquele texto como parte da tarefa que deve executar.
Michael Bargury, cofundador e CTO da Zenity, descreveu o mecanismo central usando o termo “intent collision” (colisão de intenção). A ideia não é necessariamente convencer o modelo a ignorar suas salvaguardas de segurança através de jailbreaks complexos — é mais sutil: o conteúdo malicioso é redigido de forma a parecer compatível com o objetivo que o próprio usuário já pediu ao agente. Segundo Stav Cohen, pesquisadora da Zenity Labs, em declaração à imprensa especializada: “o problema central é simples: o agente não consegue distinguir de forma confiável entre o conteúdo que foi solicitado a ler e instruções ocultas embutidas dentro desse conteúdo”. Bargury resumiu o efeito de forma ainda mais direta: navegadores agênticos “estão trocando décadas de engenharia de segurança duramente conquistada por conveniência”.
Essa colisão de intenção é agravada por uma escolha arquitetural específica: os navegadores agênticos herdam a sessão autenticada do usuário — cookies, tokens OAuth, extensões instaladas, gerenciadores de senha desbloqueados — e processam conteúdo não confiável dentro desse mesmo contexto de privilégio, sem uma fronteira de validação clara entre “quem pediu isso” e “o que está sendo executado”. Em termos de classificação de risco, o padrão se encaixa na categoria de injeção de prompt indireta descrita na lista OWASP de riscos para aplicações baseadas em LLM (LLM01), mas aplicada a um ambiente com acesso irrestrito à identidade digital do usuário.
Por que quebrar a Same-Origin Policy é o cerne do problema
Há duas décadas, a Same-Origin Policy (política de mesma origem, ou SOP) é uma das defesas mais fundamentais da web. Em termos simples, ela impede que um script carregado a partir do domínio A leia ou manipule dados pertencentes ao domínio B — é o mecanismo que garante que uma aba aberta com um site malicioso não consiga, por exemplo, ler os cookies da sua sessão bancária aberta em outra aba. Bargury descreveu essa proteção de forma direta: “navegadores dependem da SOP para isolar qualquer site aleatório que você visita de conseguir usar sua conta bancária logada”.
O problema é que o próprio conceito de agente autônomo, tal como implementado nesses produtos, rompe essa fronteira por definição. Um agente de IA que pode, dentro da mesma sessão de navegação, ler um e-mail no Gmail, abrir uma aba no Slack e preencher um formulário em um site de terceiros está, por construção, operando através de múltiplas origens com um único conjunto de privilégios — os do usuário. Não existe, hoje, um equivalente funcional da SOP para essa camada de decisão do agente. Segundo Bargury, “navegadores agênticos desmontam essa fronteira de segurança” simplesmente porque a lógica de “ajudar o usuário em qualquer tarefa” exige transitar entre domínios sem as barreiras que protegiam essa transição no modelo tradicional de navegação.
As variantes documentadas: da leitura de e-mail ao controle de máquina local
A pesquisa da Zenity documentou seis subfamílias de ataque dentro da classe PleaseFix, cada uma explorando uma superfície de risco diferente dentro do mesmo padrão de colisão de intenção.
A primeira, chamada de Claude-Site Scripting, explora a ferramenta de execução de JavaScript embutida no Claude in Chrome. Um e-mail pedindo, aparentemente, apenas um resumo da caixa de entrada continha instruções ocultas capazes de acionar exfiltração de dados do Gmail e do Google Drive, além de sequestro de contas no Slack, no X e no próprio Claude — inclusive quando o navegador operava em modo de segurança que deveria pedir confirmação explícita do usuário antes de agir (“ask before acting”).
A segunda e a terceira variante, agrupadas sob o nome PerplexedBrowser, atingem o Comet, da Perplexity. Um convite de calendário malicioso, contendo instruções camufladas, redirecionava o agente para sites controlados pelo atacante, que então disparavam ações de segundo estágio sem qualquer clique adicional — incluindo acesso ao sistema de arquivos local e abuso de extensões de gerenciador de senhas desbloqueadas, como o 1Password, até o comprometimento completo do cofre de credenciais. Um detalhe relevante documentado pela Zenity: depois que a Perplexity implementou um bloqueio de caminhos `file://` como mitigação, os pesquisadores demonstraram dois contornos distintos — usando URLs no formato `view-source:file://` e sufixos como `#.pdf` ou `#.html`, que enganavam o filtro sem alterar o comportamento malicioso subjacente. Esse detalhe é importante porque mostra que a correção pontual de um vetor específico não elimina a classe de vulnerabilidade — apenas fecha uma porta enquanto a fronteira estrutural entre dado e instrução continua ausente.
A quarta variante, GrandTheftAtlas, mira o ChatGPT Atlas, da OpenAI. Um link aparentemente comum, ao ser processado pelo agente, sequestrava o fluxo de trabalho e disparava envio de mensagens de phishing via WhatsApp usando a conta da própria vítima — contornando os controles da OpenAI. Uma exploração secundária manipulava o carrinho de compras da Amazon e recrutava o assistente Rufus, da própria Amazon, para concluir compras fraudulentas usando os métodos de pagamento salvos da vítima.
A quinta, Agent127, é talvez a mais alarmante do ponto de vista de infraestrutura: ela mira o acesso a `localhost`, descrito pelos pesquisadores como “a zona mais confiável de uma máquina, onde residem ferramentas de desenvolvimento, consoles de banco de dados e serviços internos”. No Comet, os pesquisadores conseguiram abrir shells reversos através de instâncias locais do Ollama e do Open WebUI — ferramentas comuns entre desenvolvedores que rodam modelos de IA localmente. No Gemini, o vetor explorado foram notebooks Jupyter abertos localmente; no Microsoft Edge, o alvo foi o pgAdmin, ferramenta de administração de bancos de dados PostgreSQL, permitindo corrupção de dados.
A sexta e última variante, HistoryFixing, é a mais conceitualmente inquietante: ela explora uma funcionalidade de dezesseis anos — o histórico de navegação — que nunca foi projetada com a possibilidade de ser lida como fonte de verdade por um agente autônomo. Ao plantar entradas fabricadas no histórico, os pesquisadores conseguiram fazer com que o agente tratasse essas entradas como fatos legítimos em decisões futuras. No Gemini, essa técnica levou à exclusão de servidores AWS reais; no Edge, provocou vazamento de histórico de navegação privada; no Atlas, concedeu acesso não autorizado a repositórios privados do GitHub.
O que muda — e o que não muda — depois de PleaseFix
A resposta da indústria a PleaseFix ilustra bem por que essa não é uma falha corrigível com um único patch. Bloquear um caminho de arquivo, como fez a Perplexity, resolve um sintoma, mas não a causa: enquanto o agente continuar incapaz de estabelecer uma fronteira confiável entre a instrução original do usuário e qualquer texto que ele posteriormente leia na web, novas variantes da mesma técnica continuarão surgindo — como demonstraram os próprios pesquisadores da Zenity ao contornar duas vezes a mitigação aplicada pela Perplexity.
A Cloud Security Alliance, em nota técnica publicada em 28 de março de 2026 sobre a primeira fase da divulgação, recomendou uma combinação de medidas imediatas e estruturais: auditar e revogar escopos de OAuth concedidos a esses agentes que excedam o estritamente necessário; tratar a atividade de navegadores agênticos como categoria própria em políticas de prevenção de perda de dados; exigir confirmação humana explícita antes de qualquer operação potencialmente destrutiva ou irreversível (envio de dinheiro, exclusão de dados, compartilhamento de arquivos); e aplicar acesso “just-in-time”, com autorizações que expiram e precisam ser renovadas periodicamente, em vez de sessões de longa duração com privilégios amplos. No horizonte mais estratégico, a recomendação é o desenvolvimento de mecanismos de verificação de proveniência de instrução — uma forma de a IA saber, de maneira criptograficamente verificável, se um comando de fato se originou do usuário ou foi injetado por conteúdo de terceiros —, além da inclusão sistemática de testes de injeção de prompt indireta em avaliações de segurança de qualquer produto que combine agentes autônomos com navegação web.
Pesquisadores fora da Zenity chegaram a conclusões semelhantes por caminhos independentes. Em análise publicada em abril de 2026, os pesquisadores Franziska Roesner e David Kohlbrenner, da Universidade de Washington, e, separadamente, Artem Chaikin, engenheiro de segurança da Brave, testaram outros navegadores agênticos (incluindo o Opera AI Browser) e chegaram à mesma conclusão qualitativa: todo navegador agêntico analisado se mostrou vulnerável a alguma forma de injeção de prompt via conteúdo de terceiros — seja em HTML invisível, texto sobreposto a imagens com baixa opacidade, comentários com tags de spoiler em fóruns como o Reddit, ou fragmentos de URL insuficientemente validados.
O ponto em comum entre todas essas pesquisas independentes é o mesmo diagnóstico: o problema não está em um fornecedor específico ter escrito código descuidado, mas em uma categoria de produto inteira ter sido lançada ao mercado antes de existir um consenso sobre como impor, de forma confiável, a distinção entre “o que o usuário pediu” e “o que o conteúdo da web diz para fazer”. Até que essa fronteira exista — seja por meio de verificação de proveniência, isolamento de contexto ou alguma arquitetura ainda não inventada —, cada navegador agêntico lançado ao mercado herda, por padrão, a mesma superfície de risco que PleaseFix expôs.
Fontes
- Zenity Labs — “Zenity Labs Exposes the Full Scope of PleaseFix, a Vulnerability Class Enabling Zero-Click Attacks Across Leading Agentic Browsers” (Business Wire, 5 de agosto de 2026): https://www.businesswire.com/news/home/20260805803998/en/Zenity-Labs-Exposes-the-Full-Scope-of-PleaseFix-a-Vulnerability-Class-Enabling-Zero-Click-Attacks-Across-Leading-Agentic-Browsers
- Zenity Labs — “Zenity Labs Discloses PleaseFix Vulnerability Family in Perplexity Comet and Other Agentic Browsers” (Business Wire, 3 de março de 2026): https://www.businesswire.com/news/home/20260303909038/en/Zenity-Labs-Discloses-PleaseFix-Vulnerability-Family-in-Perplexity-Comet-and-Other-Agentic-Browsers
- Zenity — “PleaseFix: Zero-Click AI Agent Vulnerabilities” (página de pesquisa técnica): https://zenity.io/research/pleasefix-vulnerabilities
- Jai Vijayan — “AI Browsers Vulnerable to ‘PleaseFix’ Zero-Click Agent Hijacking” (Dark Reading, 5 de agosto de 2026): https://www.darkreading.com/cyber-risk/ai-browsers-zero-click-agent-hijacking
- Ericka Chickowski — “Agentic Browsers Rewind Web Security by 20 Years” (Dark Reading, 27 de julho de 2026): https://www.darkreading.com/endpoint-security/agentic-browsers-rewind-web-security-20-years
- Cloud Security Alliance — “PleaseFix: Zero-Click Browser Agent Hijacking” (research note, 28 de março de 2026): https://labs.cloudsecurityalliance.org/wp-content/uploads/2026/03/CSA_research_note_PleaseFix_agentic_browser_exploits_20260328-csa-styled.pdf
- Notebookcheck — “Claude, Gemini, Comet: cinco navegadores de IA comprometidos por um único e-mail” (7 de agosto de 2026): https://www.notebookcheck.net/Claude-Gemini-Comet-five-AI-browsers-hijacked-by-a-single-email.1362568.0.html