Colocar a auditoria para rodar sozinha sem virar risco

Uma auditoria feita à mão tem um defeito discreto: ela funciona enquanto você estiver na frente do computador. Você lembra de forçar o recarregamento antes de medir, lembra de preservar as requisições antes de navegar, lembra de comparar o HTML inicial com o DOM. Ninguém mais lembra.

Quando você automatiza, o defeito troca de lado. A execução recorrente roda de madrugada, sem plateia, e uma falha silenciosa deixa de ser um erro pontual para virar dano acumulado. O relatório continua chegando bonito, com um dado a menos, e ninguém percebe até alguém tomar uma decisão com base nele.

Existe ainda um terceiro problema, e ele é o mais fácil de ignorar: parte do que você aprendeu neste curso tem prazo de validade conhecido. A revisão do Model Context Protocol (MCP, o padrão que liga o assistente às ferramentas, como uma tomada universal) que valia até o meio do ano era a 2025-11-25. Em 28 de julho de 2026 a 2026-07-28 virou a vigente, sem handshake de inicialização e sem identificador de sessão no transporte HTTP, e os SDKs oficiais de Python e TypeScript chegaram à linha 2.0 no mesmo dia. Um runbook que não carrega data de verificação envelhece sem avisar.

As seis seções obrigatórias

• Inventário de perfis: qual perfil de navegador cada rotina usa, se ele nasce deslogado, e o que acontece com ele no fim da execução.
• Servidores aprovados: nome, versão fixada, flags de execução e a data em que aquela aprovação precisa ser reavaliada.
• Domínios: duas listas separadas, uma de leitura e uma de escrita, porque são riscos diferentes.
• Aprovação humana: um único ponto, nomeado, com o que exatamente está sendo aprovado.
• Regra de parada: a condição objetiva que interrompe a execução em vez de entregar relatório incompleto.
• Resposta a incidente: o que desligar, o que preservar, quem avisar e o que revisar antes de religar.

Repare no que a seção 2 exige e que quase todo mundo pula: versão fixada e data de reavaliação. O motivo é concreto. Uma ferramenta MCP é descrita ao modelo por texto livre, e esse texto pode ser reescrito depois que você aprovou o servidor. A Invariant Labs nomeou isso de envenenamento de ferramenta em abril de 2025, ao esconder instruções na descrição de uma calculadora e conseguir que um cliente lesse a chave SSH privada do usuário.

Sobre as duas listas de domínio, a separação tem motivo. Leitura e escrita têm consequências diferentes, e misturar as duas numa lista só apaga justamente a fronteira que interessa. O Google materializou esse princípio no Chrome com os Agent Origin Sets, que restringem o agente (o assistente de IA que opera o navegador por você) a origens somente leitura e origens graváveis relevantes à tarefa, bloqueando exfiltração entre origens.

Com o encadeamento fechado, você grava a sequência. A extensão Claude in Chrome grava uma sequência de ações do navegador, salva como atalho reutilizável e permite reexecutar depois. E o ícone de relógio no painel da extensão configura execução recorrente, diária, semanal, mensal ou anual.

A regra de parada é a parte que mais gente escreve errado, porque é contraintuitiva: você está pedindo ao agente que entregue menos. Sem ela, o comportamento padrão é preencher a lacuna, e um relatório com dado faltando disfarçado de resultado é pior do que relatório nenhum. Ninguém audita o que parece completo.

Três detalhes desse fluxo merecem justificativa. O primeiro é preservar a versão exata do servidor e da extensão junto com a evidência, porque sem isso você não consegue reproduzir o incidente depois. O segundo é preservar o trecho da página que entrou no contexto, já que conteúdo de terceiro é o vetor mais comum de injeção indireta.

O terceiro é o mais desconfortável: o incidente pode não ter vindo da página. A pesquisa ShadowPrompt, publicada pela Koi Security, descreve o encadeamento de uma lista de origens permissiva demais na extensão, que aceitaria qualquer subdomínio casando com o domínio da Anthropic, com um XSS baseado em DOM num componente (peça pronta da página, como um cadeado comprado de fora) de CAPTCHA de terceiro hospedado sob esse mesmo domínio. Segundo o relato, a correção do lado da extensão passou a exigir correspondência exata de domínio. Trate como relato de terceiro, ainda sem confirmação do fornecedor: o que importa para o runbook é a consequência, ou seja, que a origem do incidente pode estar na cadeia de suprimentos, fora do alvo auditado.

Agora a parte que não é técnica e decide mais coisa: a política de automação. Ela cabe em uma página e tem três faixas.

Na prática, quem separa o permitido do arriscado é o login; o arquivo de regras de robôs pesa pouco nessa conta. Logar é o ato que traz os termos de uso para dentro da relação. No caso hiQ Labs contra LinkedIn houve reconhecimento de quebra do contrato de usuário, e o processo terminou em acordo homologado com pagamento de 500 mil dólares, proibição permanente de raspagem e destruição da base coletada. Já a decisão de janeiro de 2024 do juiz Edward Chen, no Distrito Norte da Califórnia, em Meta contra Bright Data, entendeu que os termos do Facebook e do Instagram não proibiam a raspagem deslogada de dados públicos.

No Brasil o critério não para no acesso técnico. A ANPD tratou a raspagem de dados no Radar Tecnológico número 3, de novembro de 2024, afirmando que a prática constitui tratamento de dados pessoais e se sujeita à lei brasileira de proteção de dados. O dado estar publicamente acessível não autoriza o uso de forma automática, e o legítimo interesse do artigo 7, inciso IX, dessa lei exige avaliação prévia documentada, o teste de balanceamento.

Falta o critério para saber se algo que um fornecedor chama de padrão é de fato oficial. No MCP ele é objetivo e verificável em segundos: extensões oficiais usam o prefixo io.modelcontextprotocol e vivem em repositórios com prefixo ext- na organização oficial do projeto. Terceiros devem usar o próprio domínio invertido. Nome bonito no README não conta.

Guia prático: preencher o relatório semanal de mídia com o agente, sem dar a ele a caneta

O relatório de segunda-feira junta números de GA4, Meta e Google Ads, compara com a semana anterior e sai para o cliente. O agente acelera a coleta e a montagem; a decisão do que vai para fora continua humana. O roteiro aplica as seis seções do runbook a esse caso.

Feche o exercício sem computador: entregue a política de uma página para alguém de fora do time técnico ler. Ela está pronta quando essa pessoa diz, sozinha, o que a operação nunca automatiza e quem aprova exceção; se não disser, o texto ainda é rascunho seu.