O que aconteceu na realidade

No início de julho de 2026, uma empresa de segurança de navegadores publicou uma técnica a que chamou BioShocking. O ataque começa numa página web de aparência comum que aloja um jogo de enigmas, e o jogo premeia respostas erradas: insiste que dois mais dois são cinco. Quando um utilizador pede ao agente de IA integrado no seu navegador para vencer o jogo, o agente submete a resposta correta, é informado de que perdeu e aprende discretamente que as ações incorretas são aquilo que a página quer.

Assim que o agente aceita essa nova regra, deixa de estar ancorado à realidade, e a mesma página instrui-o então a abrir ficheiros, separadores e repositórios e a copiar o seu conteúdo para um atacante. Nos testes dos investigadores, seis diferentes navegadores com IA e plugins de agente foram todos convencidos a entregar as credenciais existentes num repositório de teste, incluindo palavras-passe e chaves SSH.

Por que razão a salvaguarda falhou

O detalhe importante é que nada foi quebrado. Os agentes não foram explorados através de uma falha de software; foram argumentados para fora das suas regras de segurança. As salvaguardas de um agente de IA são preferências aprendidas durante o treino, e não uma fronteira trancada, e um contexto suficientemente convincente convence-o a adotar um novo enquadramento no qual as regras antigas já não se aplicam. Isto é engenharia social vulgar, dirigida à máquina em vez de a uma pessoa.

A resposta dos fornecedores foi desigual. Um fabricante corrigiu o seu produto, uma correção não resistiu e vários nunca responderam de todo, pelo que a maioria dos agentes testados ainda pode ser enganada hoje. A consequência prática é crua: não pode assumir que a salvaguarda que um fornecedor anuncia é a salvaguarda que realmente tem.

O que isto significa para os proprietários

As suas pessoas já estão a instalar navegadores com IA e plugins de agente por conta própria, como shadow AI, e cada um pode deter acesso ativo a um gestor de palavras-passe, repositórios de código, e-mail e ferramentas internas. Um agente que pode ser convencido de qualquer coisa, detendo acesso permanente aos seus segredos, é uma superfície de ataque nova e em grande parte sem seguro que nenhuma formação de sensibilização cobre.

A solução não é software de deteção, mas sim o privilégio mínimo. Um agente nunca deve deter acesso permanente a credenciais de que não precisa, qualquer ação que movimente dinheiro ou dados deve exigir um humano, e os navegadores com IA que a sua equipa já usa pertencem dentro da sua política de segurança, e não fora dela. Você governa o acesso, porque não pode governar o discernimento do agente.

Leia a seguir: Um governo avalia agora a sua IA primeiro  ·  A Sua Linha de Voz Já Se Gere Sozinha