Quando o corpo do agente é sequestrado — uma extensão a comandar assistentes de IA em 5 produtos
A Forever Security mostrou que uma única extensão de navegador comum podia comandar a IA integrada de 5 produtos — Chrome, Comet, Edge, Opera Neon e Claude. Em separado, a Mandiant relatou um atacante a sequestrar uma sessão de assistente de programação com IA e a espalhar o worm Shai-Hulud por cerca de 100 repositórios. Mapeamos as fronteiras de confiança dos runtimes agênticos.
Este artigo foi traduzido por máquina.
Em setembro de 2026, o pesquisador da Forever Security, Gal Weizman, demonstrou que uma única extensão de navegador, com apenas 2 permissões comuns — modificação de página e declarativeNetRequest — podia controlar os assistentes de IA integrados de 5 produtos: Gemini Live no Chrome, Perplexity Comet, Microsoft Edge, Opera Neon e a extensão Claude in Chrome. A arquitetura é a mesma entre os produtos: a IA tem um "corpo" dentro do navegador, que pode ver a tela, abrir arquivos e usar a câmera, e um "cérebro" nos servidores do fornecedor, e o corpo só aceita ordens de uma única página de confiança (p. ex., gemini.google.com). A extensão introduz o seu próprio código nessa página de confiança e fala com o corpo como se fosse o fornecedor. O caso do Chrome, conhecido como GlicJack, é CVE-2026-0628 (CVSS 8.8, corrigido no Chrome 143); só o achado do Edge recebeu também um CVE, CVE-2026-55945 (CVSS 4.2, corrigido). Comet, Opera Neon e Claude não têm CVEs. O Comet foi o pior caso — uma vez sequestrado, o seu agente podia ler qualquer arquivo, listar o histórico de navegação, tirar screenshots e agir como o usuário. Todos os achados são demonstrações de pesquisadores, não ataques em atividade real, e cada um pressupõe que a extensão já esteja instalada (conforme a cobertura de The Hacker News).
Num fio à parte, o relatório de setembro de 2026 da Mandiant descreve um atacante a sequestrar uma sessão ativa de assistente de programação com IA num fornecedor de SaaS não nomeado. Depois do sequestro, uma recomendação do assistente — de software que o atacante tinha envenenado — foi aceita pela pessoa, e o atacante usou a sessão do desenvolvedor para instalar um infostealer por meio de um pacote PyPI envenenado, dentro do namespace oficial da empresa. Tokens OAuth do GitHub foram roubados, e o worm de propagação própria Shai-Hulud foi implantado em cerca de 100 repositórios internos; um segundo funcionário, ao fazer pull da versão comprometida, causou uma segunda infecção. A Mandiant tinha relatado antes que, durante 2025, os atacantes passaram de usar IA generativa para acelerar o trabalho a incorporar LLMs em malware e em ataques em curso (conforme a cobertura de The Hacker News e da Mandiant).
Análise (separada do relato factual): o que as duas histórias têm em comum é que a fronteira de confiança das arquiteturas agênticas se situa numa "página" e numa "recomendação", e não na aprovação humana. Os agentes de browser-use aceitam comandos de um único domínio de confiança — mas uma extensão pode reescrever o conteúdo dessa página, o que faz das extensões um caminho de supply chain para dentro da fronteira de confiança. Do lado do agente de programação, a "aprovação" humana de uma recomendação da IA é, ela própria, a concessão do privilégio de execução: se a entrada de quem recomenda (o package registry) está envenenada, a aprovação passa a ser o gatilho. O human-in-the-loop costuma ser descrito como uma medida de segurança; contudo, em ambos os casos, a pessoa no circuito não validou a recomendação — foi uma formalidade.
Implicações defensivas: (1) Nos endpoints em que os assistentes de IA estão ativos, inventarie as permissões das extensões juntamente com as capacidades do agente — se uma extensão pode chegar à leitura de arquivos e ao acesso à câmera através do "corpo" do agente, conceder-lhe permissões é uma concessão real de privilégio. (2) Trate qualquer pacote ou ferramenta recomendado por IA, mesmo com aprovação humana, como um caminho de supply chain recém-aberto que precisa de validação. (3) Do lado do domínio de confiança, inventarie canais de comando que tenham ficado, como subdomínios de teste (um endereço de teste residual foi a abertura decisiva no caso do Comet). (4) Reduza ao mínimo os arquivos que um agente pode ler e os tokens (p. ex., OAuth) que ele detém. Isto é análise nossa, não orientação de fornecedor.
Os dados factuais deste artigo são extraídos em primeiro lugar do texto BragJack da Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) e do AI Risk and Resilience Report 2026 da Mandiant / Google Cloud (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026), com a cobertura de The Hacker News como fonte secundária (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html e https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); as partes de análise são mantidas separadas do relato factual. Note-se que, para os produtos sem CVEs, o estado da remediação do fornecedor não pôde ser confirmado por completo a partir de informação pública.