O que um agente pode estragar antes de conseguir te ajudar

Cinco minutos de instalação bastam para o problema começar. Você clica em instalar e autoriza. A partir daquele momento um modelo de linguagem passa a ter no seu Chrome o mesmo alcance que você tem: as abas abertas, os cookies válidos, o e-mail já logado, o painel de anúncios com cartão cadastrado, o CRM (o fichário digital de clientes e negociações) com a base de clientes.

Nada disso exige um atacante para dar errado. Basta uma instrução sua escrita de forma ambígua e uma página que o agente (assistente de IA que usa o navegador por você, como um estagiário) leu no meio do caminho.

Entenda o mecanismo antes de qualquer regra, porque ele é simples. O modelo não tem separação estrutural entre a instrução que você digitou e o texto que ele leu de uma página, de um e-mail ou da descrição de uma ferramenta. Tudo chega como a mesma sequência de tokens (os pedacinhos de texto que o modelo lê, como sílabas).

Quando você soma isso a uma sessão logada, o agente passa a agir em seu nome, com as suas credenciais vivas, e cada texto que ele lê pesa como uma ordem sua.

Simon Willison formulou em junho de 2025 o modelo mental mais econômico para esse risco, a trinca letal. São três propriedades que, juntas, tornam a exfiltração possível.

Acesso a dado privado: o agente alcança algo que só você deveria ver, do GA4 ao painel de leads. Exposição a conteúdo não confiável: ele lê texto que terceiros escreveram, ou seja, qualquer página, comentário, issue, e-mail ou documento compartilhado. Canal de saída: ele consegue mandar algo para fora, publicando, enviando formulário ou simplesmente abrindo uma URL com o dado colado no parâmetro.

Agora separe duas coisas que costumam ser tratadas como uma só, porque as contenções são diferentes.

Risco de acidente: o agente faz a coisa errada por conta própria, interpretando mal um pedido seu. Risco de ataque: alguém faz o agente fazer a coisa errada, plantando instrução no conteúdo que ele vai ler.

Olhe os números que o próprio fornecedor publicou, com a metodologia declarada, porque eles ancoram a expectativa em algo verificável.

No lançamento do piloto do Claude para Chrome, em agosto de 2025, a Anthropic mediu 23,6% de sucesso de ataque em modo autônomo sem mitigações, caindo para 11,2% com mitigações, e de 35,7% para 0% num conjunto de desafio com quatro tipos de ataque específicos de browser. Em novembro de 2025, numa avaliação diferente, contra um atacante interno adaptativo com 100 tentativas por ambiente, reportou cerca de 1% com o Claude Opus 4.5 e a extensão atualizada.

Desde então saíram modelos mais novos, o Opus 4.8 em maio de 2026 e a família 5, e a extensão roda em todos os modelos públicos. Mesmo assim, a medição de injeção específica de navegador continua sendo a de novembro de 2025, feita com o Opus 4.5, porque nenhum número browser-específico foi publicado com os modelos mais recentes. Por isso o 1% segue sendo a referência honesta, mesmo com o modelo de hoje diferente daquele avaliado.

Falta a terceira peça do mapa, e é a que mais muda o dia a dia: reversibilidade. Antes de decidir se uma tarefa entra na automação, classifique o estrago que ela causa quando sai errada.

Reversível é o que você desfaz em um clique e ninguém fica sabendo. Cara de desfazer é o que dá para reverter, mas custa tempo, dinheiro ou credibilidade. Irreversível é o que não volta: a mensagem enviada, o lead exportado, a verba gasta.

Uma pergunta única separa os três casos: se isso executar sozinho às três da manhã e estiver errado, o que eu preciso fazer amanhã de manhã?

Se a resposta é "apagar e refazer", é reversível. Se é "pedir desculpa para alguém", é cara de desfazer. Se é "avisar o jurídico ou o cliente", é irreversível e não deveria rodar sem alguém olhando. Numa clínica de duas pessoas, por exemplo, mover um lembrete na agenda interna é apagar e refazer; mandar ao paciente o lembrete com o horário errado é pedir desculpa; exportar a lista de pacientes para fora é avisar o cliente e o jurídico.

Para preencher a Parte 1 sem depender da memória, comece identificando quais perfis do Chrome existem na sua máquina. É comum descobrir aí que o perfil "pessoal" também está logado em algo de trabalho.

Preencha hoje a Ficha de Exposição da sua própria máquina, com no mínimo oito serviços logados e as três colunas de sensibilidade marcadas. Depois escolha três tarefas que você pretende automatizar ao longo do curso e classifique cada uma na escala de reversibilidade.

Feche a ficha respondendo a Parte 3, olhando o perfil que você usa hoje, e guarde o arquivo: os módulos 6, 8 e 16 pedem essa ficha de volta para desenhar permissões, contenção e runbook em cima dos seus dados reais. A ficha está pronta quando você aponta, só olhando para ela, qual das três pernas é a mais barata de remover.