Onde termina a leitura e começa a consequência

Existem dois jeitos de estragar a mesma automação (rotina que o agente executa sozinho, como piloto automático), e eles parecem opostos. No primeiro, o agente (o assistente de IA que opera o navegador por você) interrompe o trabalho a cada passo, você aprova sem ler na quinta vez e, na décima quinta, já clica em Aprovar antes mesmo de o texto terminar de aparecer. O gate humano continua lá, só que não defende mais nada. No segundo, a pessoa se cansa da interrupção, desliga o que der para desligar e passa a rodar tudo liberado, torcendo para dar certo.

Os dois extremos nascem da mesma lacuna: ninguém ensinou qual chamada muda estado. Sem essa distinção, toda parada parece arbitrária, e uma parada arbitrária ou é ignorada ou é eliminada. Quando você sabe onde fica a linha, a rotina passa a ser desenhada em torno dela, e as poucas aprovações que sobram voltam a significar alguma coisa.

O que roda sem pedir nada

Em plan mode, as chamadas somente leitura passam direto, sem prompt de permissão: ler a página (read_page), extrair o texto (get_page_text), localizar um elemento (find), ler as mensagens de console, ler as requisições de rede e tirar uma captura de tela. Todas essas observam a página e terminam sem alterar coisa alguma no navegador.

Do outro lado da linha ficam as chamadas que deixam marca: cliques, digitação, navegação, gestão de abas e janelas e gravação de GIF. Todas elas pedem aprovação, porque todas mudam alguma coisa que continua diferente depois que o agente devolve o controle.

A rotina ingênua, e a previsão antes de rodar

Agora o exercício. Abaixo está uma rotina de auditoria escrita do jeito que sai naturalmente, na ordem em que a pessoa pensa. Antes de rodar, leia e aponte com o dedo em quais passos exatos ela vai parar. Prever é a parte que ensina; rodar só confirma.

A previsão correta aponta cinco passos que param: passo 2 (clique), passo 4 (clear no leitor de console), passo 5 (navegação), passo 6 (save_to_disk na captura) e passo 7, que junta navegação e abertura de aba e por isso pode render duas aprovações em vez de uma. O passo 8 não para, porque é leitura pura. Repare que os passos 1, 3 e 8 nunca param, e que duas das paradas, a 4 e a 6, existem por causa de um parâmetro, não da ferramenta em si.

O ganho veio de tirar da rotina três escritas que ninguém precisava, com o gate intacto: limpar o log (basta guardar o que já foi lido), abrir aba nova (a mesma aba serve) e enviar o formulário (teste de escrita em produção, fora do escopo de uma auditoria). O que sobrou de escrita continua passando por aprovação, uma por uma.

Quem controla se esses portões chegam a aparecer é um ajuste da própria extensão Claude in Chrome, com três modos que vão do mais cauteloso ao mais arriscado. Em Manually Approve, cada ação para e espera o seu aval, uma por uma. Em Automatically Approve, o Claude age sem pedir a cada passo, mas continua avaliando cada ação e bloqueia sozinho o que julgar inseguro. Em Skip All Approvals não há checagem nenhuma, e ele só se justifica quando a confiança no alvo é total, o que praticamente nunca ocorre fora de um laboratório fechado. Ainda assim, três classes de ação ficam de fora de qualquer automação: baixar arquivos, inserir dados sensíveis e conceder autorizações continuam pedindo confirmação mesmo depois de você conceder permissão persistente ao site, e não há como dispensar esse pedido por configuração.

Os limites que não são falha técnica

Parte do que o Claude in Chrome recusa não tem nada a ver com a fronteira de permissões. São decisões de produto da Anthropic, tomadas antes de qualquer prompt seu, e insistir contra elas só produz frustração. Conheça a lista para não gastar uma tarde culpando o modelo por uma recusa que estava documentada.

Escreva agora as duas versões da mesma rotina de auditoria de um site que você conhece. Antes de rodar, anote em qual chamada exata a versão ingênua vai parar e quantas paradas você espera. Rode as duas, conte as aprovações de verdade e compare com a sua previsão. Onde errar, identifique se foi por não reconhecer uma escrita ou por não ver um parâmetro que promoveu uma leitura. Depois, reescreva cada portão da versão organizada até que nenhum deles diga apenas "continuar": todos precisam nomear a ação e o domínio.

Guia prático: configurar as permissões da extensão para auditar uma campanha

Os três modos ganharam nomes novos na documentação da Anthropic: Manually approve (antes "Ask before acting"), Automatically approve e Skip all approvals (antes "Act without asking"). Tutorial com os nomes antigos foi escrito antes da mudança. O cenário abaixo é o de uma analista que precisa conferir a landing da campanha e ler o GA4 do cliente, sem dar ao agente alcance sobre o resto do navegador.

Separar a permissão do agente da autorização no serviço

Considere uma extensão hipotética da auditoria desta aula: além de ler a landing page, o agente precisa consultar métricas por uma API. Aprovar a tarefa no navegador não concede, por si só, acesso à API. Essa consulta depende da credencial e das permissões que o serviço reconhece. O inverso também vale: um token com permissão de escrita não expressa uma decisão sua de publicar uma alteração nesta tarefa.

OAuth 2.0 trata dessa autorização de acesso a recursos, conforme o [RFC 6749](https://www.rfc-editor.org/rfc/rfc6749), consultado em 02/10/2026. Para a consulta de métricas, escolha o escopo de leitura quando o provedor o oferece e confira como revogar a autorização. A aula Aplicar escopos e menor privilégio mostra como traduzir uma tarefa em permissões.

Acrescente duas linhas ao plano da auditoria: a ação que você autorizou o agente a executar e o acesso que o provedor concedeu à integração. Se um deles for mais amplo que a tarefa, ajuste antes da execução. O exercício termina quando você consegue explicar e verificar ambos, sem tratar a aprovação de uma ação como substituta da configuração do serviço.