Pesquisadores da Zenity demonstraram que navegadores de IA podem ser desviados sem que a vítima clique em nada. Um único comentário plantado num tópico de rede social bastou para redirecionar o agente que navegava por ali, num ataque que os pesquisadores classificam como injeção indireta de instrução sem clique.
O detalhe que dá gravidade ao achado é a origem do problema. Segundo a análise apresentada no Black Hat, não se trata de defeito de programação que uma correção resolve, e sim de decisão de arquitetura: o agente lê o conteúdo da página como parte do seu contexto de trabalho e não tem como distinguir com segurança o que é dado a ser processado do que é ordem a ser obedecida.
Uma pesquisa apresentada no mesmo evento chegou a conclusão parecida por outro caminho: navegadores de IA dos principais fornecedores continuam vulneráveis a injeção de instrução apesar das várias camadas de proteção já adicionadas. A expressão usada foi direta: não há correção perfeita.
A Check Point, examinando estruturas de agentes, encontrou um caso ainda mais concreto. Por meio de injeção de instrução, o agente carregava dados de estado não confiáveis, o que permitiria execução de código malicioso na máquina. O ataque descrito envolve uma pessoa plantando o conteúdo e outra, ao retomar a própria sessão, disparando o efeito.
A conclusão que atravessa os três trabalhos é incômoda para quem vende agente autônomo: o problema não está no texto que o usuário escreve, e sim no fato de que o agente trata todo o conteúdo que encontra como potencialmente instrutivo. Enquanto essa separação não existir no desenho, cada página visitada é uma superfície de ataque.