Ninguém aprende uma ferramenta de risco lendo a lista de comandos. Aprende quando entende o mecanismo do estrago antes de ganhar o poder de causá-lo, e quando cada gesto novo devolve um artefato que dá para conferir sozinho. Cada módulo abre com o essencial para quem decide e não vai operar o terminal, e desce em seguida ao passo a passo para quem vai colocar a mão na massa. A capacidade só cresce depois que a contenção correspondente está montada: do laboratório descartável até a sessão logada consciente, da leitura barata até a escrita idempotente.
Ao final você vai operar o Chrome com um agente sabendo, a cada gesto, o que ele alcança e o que ele deixa de marca. O percurso vai do mapa de exposição até o runbook que outra pessoa consegue seguir, passando por laboratório descartável, leitura estrutural, fronteira de permissões, injeção indireta reproduzida por você, contenção por arquitetura, auditoria da cadeia de suprimentos MCP e três laudos que se defendem em reunião: HTML bruto contra DOM, performance rotulada e conversão provada na requisição.
O percurso linear dos 16 módulos continua sendo o caminho completo. Se você tem um objetivo específico, entre por uma destas rotas. A Executiva foi desenhada para quem decide e não vai operar o terminal; para no ponto da decisão, com o essencial de cada tema.
C-level, conselho e diretoria
Entender o risco, decidir a política de uso e assinar com segurança uma operação de agentes, sem precisar tocar no terminal.
Quem vai instalar e operar
Montar o laboratório descartável, colocar a extensão no Chrome real, ler barato e escrever automação que não quebra na segunda-feira.
Marketing, analytics e agências
Produzir laudos que se defendem em reunião: HTML bruto contra DOM, legibilidade por agente, performance rotulada e prova de conversão na fonte.
O que um agente alcança dentro do seu navegador, como escolher a ferramenta certa pelo estado da sessão e como montar um laboratório que absorve os seus enganos sem cobrar caro.
O que é: instalar a extensão dá a um modelo de linguagem, dentro do seu Chrome logado, o mesmo alcance que você tem, das abas abertas ao painel de anúncios com cartão cadastrado. Por que importa: o estrago não exige um atacante. Um pedido escrito de forma ambígua somado a uma página lida no caminho basta para pausar uma conta inteira ou exportar a base de clientes, sem que nenhum alerta dispare. A sua decisão: qual grau de estrago pode rodar sozinho e onde entra confirmação humana obrigatória antes de o agente agir. O que delegar: o preenchimento da ficha de exposição e a classificação técnica de cada tarefa cabem ao time. O passo a passo para operar vem logo abaixo.
As três condições que, juntas, permitem um vazamento: o agente alcança dado privado, lê conteúdo escrito por terceiros e tem um canal para mandar algo para fora. Como uma porta que só abre com as três fechaduras destrancadas ao mesmo tempo, trancar qualquer uma delas basta para barrar a saída.
O custo de desfazer um erro depois que ele acontece. Reversível é o que se apaga em um clique; irreversível é a mensagem já enviada, a verba já gasta, o lead já exportado. É a diferença entre rasgar um rascunho e recolher uma carta que já foi postada.
A instalação leva cinco minutos e é justamente aí que o problema começa. Você clica em instalar, autoriza, e a partir daquele momento um modelo de linguagem passa a ter no seu Chrome o mesmo alcance que você tem: as abas abertas, os cookies válidos, o e-mail já logado, o painel de anúncios com cartão cadastrado, o CRM com a base de clientes.
Nada disso exige um atacante para dar errado. Basta uma instrução sua escrita de forma ambígua e uma página que o agente leu no meio do caminho.
Você pede: "confere as campanhas e pausa o que estiver com custo fora do padrão". Você quis dizer um anúncio. O agente entendeu a conta inteira. Não houve invasão, não houve página maliciosa, não houve bug. Houve capacidade concedida sem limite combinado.
O mecanismo por trás disso é simples e vale entender antes de qualquer regra. O modelo não tem separação estrutural entre a instrução que você digitou e o texto que ele leu de uma página, de um e-mail ou da descrição de uma ferramenta. Tudo chega como a mesma sequência de tokens.
Quando você soma isso a uma sessão logada, o agente não está lendo a internet em nome de ninguém: ele está agindo em seu nome, com as suas credenciais vivas.
Simon Willison formulou em junho de 2025 o modelo mental mais econômico para esse risco, a trinca letal. São três propriedades que, juntas, tornam a exfiltração possível.
Acesso a dado privado: o agente alcança algo que só você deveria ver, do GA4 ao painel de leads. Exposição a conteúdo não confiável: ele lê texto que terceiros escreveram, ou seja, qualquer página, comentário, issue, e-mail ou documento compartilhado. Canal de saída: ele consegue mandar algo para fora, publicando, enviando formulário ou simplesmente abrindo uma URL com o dado colado no parâmetro.
As três precisam coexistir. Duas quaisquer produzem incômodo, não vazamento. Por isso a pergunta útil de arquitetura não é "como deixo o agente mais seguro?", e sim "qual das três pernas eu consigo remover nesta tarefa?".
1. Você abre o agente no Chrome onde o painel de leads já está logado | v 2. Pede: "resume os comentários do post e responda os mais relevantes" | v 3. Um comentário contém texto endereçado ao agente, não a você | v 4. O agente lê esse texto no mesmo fluxo da sua instrução | v 5. O agente abre a aba do painel, copia os e-mails e monta uma URL | v 6. A URL é aberta. O dado saiu. Nenhum alerta disparou.
Não adianta apenas filtrar texto escondido. A Unit 42 (Palo Alto Networks) publicou em março de 2026 telemetria de injeções observadas em produção e 37,8% dos payloads estavam em texto puro, simplesmente visível na página. O ataque não depende de estar oculto do humano, depende de o agente ler.
Agora separe duas coisas que costumam ser tratadas como uma só, porque as contenções são diferentes.
Risco de acidente: o agente faz a coisa errada por conta própria, interpretando mal um pedido seu. Risco de ataque: alguém faz o agente fazer a coisa errada, plantando instrução no conteúdo que ele vai ler.
Acidente se contém reduzindo capacidade e exigindo confirmação humana onde a ação é irreversível. Ataque se contém isolando origem, cortando o canal de saída e usando perfil descartável. Um prompt bem escrito ajuda no primeiro caso e não resolve o segundo.
Vale olhar os números que o próprio fornecedor publicou, com a metodologia declarada, porque eles ancoram a expectativa em algo verificável.
No lançamento do piloto do Claude para Chrome, em agosto de 2025, a Anthropic mediu 23,6% de sucesso de ataque em modo autônomo sem mitigações, caindo para 11,2% com mitigações, e de 35,7% para 0% num conjunto de desafio com quatro tipos de ataque específicos de browser. Em novembro de 2025, numa avaliação diferente, contra um atacante interno adaptativo com 100 tentativas por ambiente, reportou cerca de 1% com o Claude Opus 4.5 e a extensão atualizada.
Desde então saíram modelos mais novos, o Opus 4.8 em maio de 2026 e a família 5, e a extensão roda em todos os modelos públicos. Mesmo assim, a medição de injeção específica de navegador continua sendo a de novembro de 2025, feita com o Opus 4.5, porque nenhum número browser-específico foi publicado com os modelos mais recentes. Por isso o 1% segue sendo a referência honesta, e não porque o modelo de hoje seja idêntico ao daquela avaliação.
Esses números vêm de metodologias e momentos distintos, então não leia como uma progressão contínua. E leia o 1% pelo que ele é: a própria Anthropic escreve que nenhum agente de browser é imune a injeção de prompt. Em uma automação que roda centenas de vezes por semana, 1% deixa de ser margem de erro e vira agenda.
Parte do que a ferramenta não faz é decisão de produto, não limitação técnica. A Anthropic bloqueia acesso a sites de conteúdo adulto e de conteúdo pirata, exige permissão para sites financeiros e proíbe Claude de negociar ações, burlar CAPTCHA ou coletar imagens faciais. Também desaconselha o uso para gerir contas financeiras, documentos jurídicos e informação médica. Se a sua tarefa cai nessa lista, o problema não é o modelo estar ruim.
Falta a terceira peça do mapa, e é a que mais muda o dia a dia: reversibilidade. Antes de decidir se uma tarefa entra na automação, classifique o estrago que ela causa quando sai errada.
Reversível é o que você desfaz em um clique e ninguém fica sabendo. Cara de desfazer é o que dá para reverter, mas custa tempo, dinheiro ou credibilidade. Irreversível é o que não volta: a mensagem enviada, o lead exportado, a verba gasta.
O teste que separa os três casos é uma pergunta única: se isso executar sozinho às três da manhã e estiver errado, o que eu preciso fazer amanhã de manhã?
Se a resposta é "apagar e refazer", é reversível. Se é "pedir desculpa para alguém", é cara de desfazer. Se é "avisar o jurídico ou o cliente", é irreversível e não deveria rodar sem alguém olhando.
SERVIÇO LOGADO | DINHEIRO | DADO DE CLIENTE | PUBLICAÇÃO ------------------------|----------|-----------------|----------- Google Ads | sim | não | não GA4 | não | sim | não WordPress do blog | não | não | sim TAREFA | REVERSIBILIDADE | DECISÃO ------------------------------|-------------------|------------------ Ler relatório de analytics | reversível | pode automatizar Publicar post agendado | cara de desfazer | revisar antes Aprovar orçamento de campanha | irreversível | gate humano
# Ficha de Exposição
<!-- Preencha com os serviços em que VOCÊ está logado hoje no Chrome que usa no trabalho. -->
<!-- Mínimo de oito linhas. Marque com x cada coluna que se aplica. -->
## Parte 1: serviços logados no perfil de trabalho
| Serviço | Envolve dinheiro | Tem dado de cliente | Publica em público |
| --- | --- | --- | --- |
| Google Ads | | | |
| Google Analytics 4 | | | |
| Search Console | | | |
| Meta Business | | | |
| CRM | | | |
| E-mail de trabalho | | | |
| CMS do site ou blog | | | |
| Rede social da marca | | | |
## Parte 2: três tarefas que pretendo automatizar neste curso
| Tarefa | Reversível, cara de desfazer ou irreversível | Por quê |
| --- | --- | --- |
| 1. | | |
| 2. | | |
| 3. | | |
## Parte 3: leitura da trinca letal
<!-- Responda com base na Parte 1, olhando o perfil que você usa hoje. -->
- Perna 1, acesso a dado privado, ficaria ativa? (sim/não e por quê)
- Perna 2, exposição a conteúdo não confiável, ficaria ativa?
- Perna 3, canal de saída, ficaria ativa?
- Qual das três é a mais barata de remover no meu caso?Para preencher a Parte 1 sem depender da memória, comece identificando quais perfis do Chrome existem na sua máquina. É comum descobrir aí que o perfil "pessoal" também está logado em algo de trabalho.
# Lista os perfis do Chrome existentes na máquina.
# Rode apenas a linha do seu sistema operacional.
# macOS
ls -1 "$HOME/Library/Application Support/Google/Chrome" | grep -E '^(Default|Profile )'
# Linux
ls -1 "$HOME/.config/google-chrome" | grep -E '^(Default|Profile )'
# Windows, no PowerShell
# Get-ChildItem "$env:LOCALAPPDATA\Google\Chrome\User Data" -Directory |
# Where-Object { $_.Name -match '^(Default|Profile )' } |
# Select-Object Name
# Depois, dentro do Chrome, abra cada perfil e confira em chrome://settings/people
# qual conta está conectada. A Ficha de Exposição deve descrever o perfil que você
# usaria com o agente, não a soma de todos.Ainda neste módulo, uma decisão que economiza sofrimento depois: não use o perfil pessoal do Chrome como perfil do agente. A documentação do Chrome DevTools é explícita ao dizer que conectar um agente ao navegador em execução dá a ele acesso a todos os dados do perfil, incluindo abas abertas, cookies, localStorage e sessionStorage. O módulo 3 monta o laboratório descartável, mas a separação começa por essa escolha.
Exercício desta aula. Preencha a Ficha de Exposição da sua própria máquina, com no mínimo oito serviços logados e as três colunas de sensibilidade marcadas. Depois escolha três tarefas que você pretende automatizar ao longo do curso e classifique cada uma na escala de reversibilidade.
Feche a ficha respondendo a Parte 3, olhando o perfil que você usa hoje, e guarde o arquivo: os módulos 6, 8 e 16 pedem essa ficha de volta para desenhar permissões, contenção e runbook em cima de dados reais seus, não de exemplo.
Sua ficha lista pelo menos oito serviços logados com a marcação de sensibilidade e as três tarefas classificadas em reversível, cara de desfazer ou irreversível. Olhando a própria ficha, você consegue apontar quais das três pernas da trinca letal ficariam ativas se conectasse um agente ao seu perfil de hoje, e dizer qual delas seria a mais barata de remover.
Cabe a você definir a política, não o roteiro: quais tarefas o agente pode executar sozinho, quais exigem confirmação humana antes de agir e quais estão proibidas de rodar sem alguém olhando. Aprove essa fronteira pela reversibilidade do estrago, não pela conveniência, e trate aquele 1% de injeção bem-sucedida como orçamento de risco que você aceita gastar, tarefa a tarefa.
Leitura estrutural no lugar de captura de tela, a extensão dentro do seu Chrome real e a linha exata entre a ação que só observa e a que deixa marca.
Ver a injeção indireta acontecer, cortar o vetor por arquitetura, auditar a cadeia de fornecedores de MCP e fixar o mínimo de protocolo que evita dívida com prazo de validade.
Automação idempotente, HTML bruto contra DOM, a régua de legibilidade por agente, performance rotulada, prova de conversão na fonte e o runbook final de governança.
Chief Strategy Officer da Nuvini (Nasdaq: NVNI), Founder da Brasil GEO, cofundador da NAIA e cofundador da AI Brasil. Foi CMO da Semantix, empresa brasileira de dados e IA listada na Nasdaq. É pioneiro em Generative Engine Optimization e no conceito de Business-to-Agent no mercado brasileiro.
Este curso faz parte do material educacional gratuito da Brasil GEO sobre operação de agentes de IA com responsabilidade. Cada número citado ao longo dos módulos vem com fonte e metodologia declaradas, e medição de laboratório aparece sempre separada de dado de campo. Onde a evidência pública é conflitante, o conflito está escrito no texto em vez de resolvido a favor da tese.
Plataforma de visibilidade algorítmica com análises contínuas em ChatGPT, Gemini, Claude e Perplexity. R$ 99/mês nos primeiros 3 meses com cupom ALE99. Ideal para aplicar o que você aprendeu em MCP com Chrome: Automação com IA.
Sem cartão para começar · cancele quando quiser · cupom ativo por 3 meses consecutivos
Segundo o modelo da 'trinca letal', quando a exfiltração de dados por um agente de navegador se torna possível?
Cursos do portal que aprofundam ou complementam o que você estudou aqui.
Seleção automática baseada nos tópicos, audiência e jornada desta página.