Para muita gente, a rotina já passa por um assistente de inteligência artificial, seja para planejar uma viagem, tirar uma dúvida técnica, comparar preços antes de comprar ou resumir um texto longo. E o papel dele está mudando. Em vez de apenas responder com o que já sabe, o assistente agora pesquisa na web e indica páginas. Já os agentes de navegador, como o modo agente do ChatGPT e o Claude in Chrome, também abrem esses links, clicam e preenchem formulários no lugar do usuário.
É uma conveniência e tanto, mas também um novo ponto de contato com a internet. Isso levanta uma pergunta incômoda: o que acontece quando a página que a IA indica ou abre é um site falso?
Neste texto, mostramos três caminhos pelos quais um site falso pode chegar a um assistente ou a um agente: respostas de busca com links maliciosos (SEO poisoning), agentes que navegam e executam ações, e instruções escondidas em páginas, e-mails e documentos (prompt injection). Também apresentamos o que dizem pesquisas e fabricantes e quais cuidados reduzem o risco.
Adoção de chatbots de IA: por que isso interessa a golpistas?
Criminosos costumam ir aonde a atenção das vítimas está, e ela está mudando de lugar. Segundo a pesquisa Nossa Vida com IA, feita pela Ipsos a pedido do Google, 71% dos adultos conectados no Brasil relataram já ter usado chatbots, contra 62% na média global. Um levantamento do Mobile Time e da Opinion Box, de março de 2026, mostra que um em cada quatro brasileiros com smartphone usa buscadores e IA na mesma medida. Na hora de comprar, o estudo Mapa da Busca no Brasil 2026, da Optimiza Marketing, indica que 46,5% dos consumidores já recorrem à IA nessa jornada.
Para quem aplica golpes, esse movimento é uma oportunidade. Quando a IA vira porta de entrada para pesquisas e compras, ela pode se tornar um novo alvo. Ainda não há evidência de que o uso de chatbots em golpes seja generalizado, mas já existem casos documentados em duas frentes: o SEO poisoning, técnica que coloca páginas falsas no topo dos resultados e, agora, nas respostas de assistentes, e o prompt injection, em que instruções escondidas em páginas, e-mails e documentos tentam comandar agentes de IA. Veja exemplos de cada uma a seguir.
Assistentes e agentes de IA conseguem abrir um site falso?
Podem, dependendo da ferramenta e do nível de autonomia. Assistentes com busca, como os chatbots comuns, leem o conteúdo da página e o resumem, e o risco principal é receber um link ou uma informação falsa. Já os agentes de navegador, como o modo agente do ChatGPT e o Claude in Chrome, conseguem abrir links, clicar, baixar arquivos e preencher formulários no lugar do usuário, e as fabricantes dizem pedir confirmação antes de ações de alto risco. A diferença está no que acontece depois da abertura. Ler uma página falsa é um risco de informação, enquanto agir dentro dela pode significar perda financeira. As próprias OpenAI e Anthropic reconhecem esse risco, como mostramos mais adiante.
Testes de empresas de segurança mostram que isso já ocorreu em ambiente controlado. Em agosto de 2025, a Guardio Labs, empresa que desenvolve proteção para navegadores, publicou um dos primeiros testes com navegadores agênticos. Nele, o Comet, da Perplexity, recebeu o pedido de comprar um produto em uma loja falsa criada pelos pesquisadores. Os testes foram repetidos: em alguns casos o navegador recusou ou pediu que a pessoa concluísse o pagamento, mas em outros adicionou o produto ao carrinho e preencheu endereço e cartão salvos sem pedir confirmação. Em outro teste, o navegador seguiu o link de um e-mail falso que se passava por um gerente do Wells Fargo e abriu a página de login fraudulenta, pedindo que o usuário informasse as credenciais. Como a tecnologia muda rápido, esses resultados mostram um retrato daquele momento, e não o estado atual das ferramentas.
Em maio de 2026, a Microsoft publicou uma pesquisa que mostra como isso acontece na prática. Segundo os pesquisadores, criminosos criaram sites falsos que imitam utilitários conhecidos, como CrystalDiskInfo, HWMonitor e PDFgear, voltados a usuários com placas de vídeo potentes. Os sites eram levados ao topo dos resultados por técnicas de SEO poisoning e, em abril de 2026, houve relatos de que pessoas que pediam a chatbots de IA recomendações de download receberam, nas respostas, links para domínios controlados pelos atacantes. O arquivo baixado instalava o ScreenConnect, ferramenta legítima de gerenciamento remoto, muito usada por administradores de TI e também em campanhas maliciosas, e depois um software de mineração de criptomoedas.
Os próprios pesquisadores fazem ressalvas. Eles afirmam que a conclusão se baseia em padrões observados e em dados correlacionados, e que o exemplo de resposta de chatbot divulgado é ilustrativo e não indica um problema sistêmico de nenhum serviço de IA específico. Desde março de 2026, identificaram mais de 150 domínios maliciosos ligados à campanha. O caso é uma extensão do SEO poisoning, que há anos coloca páginas falsas no topo de buscadores, para as respostas de assistentes de IA.
O problema também apareceu em telefones de suporte. Em 2025, reportagens do Washington Post e do Digital Trends relataram casos em que o AI Overviews, do Google, exibiu números falsos de atendimento de empresas. O Google afirmou estar ciente do problema e ter agido contra alguns dos números.
E se a própria página ou o documento der ordens à IA?
Há ainda um risco que não depende de a IA errar o endereço, porque o conteúdo da página pode tentar comandá-la. Quando um agente lê uma página, um e-mail ou um documento, ele pode tratar um texto escondido ali como se fosse uma ordem do usuário. Esse ataque se chama prompt injection, ou injeção de prompt, e também é descrito em guias de referência como o do OWASP. O texto pode ficar invisível para as pessoas, por exemplo com letras brancas em fundo branco, e ainda assim ser lido pela IA.
A OpenAI dá um exemplo em sua central de ajuda. Durante uma pesquisa, o agente pode encontrar um comentário malicioso que o instrui a buscar um código de redefinição de senha no Gmail e enviá-lo a um site malicioso. A Guardio Labs batizou de PromptFix uma variação desse ataque, em que instruções escondidas atrás de um falso captcha levam o agente a clicar em um botão e baixar um arquivo. Na demonstração controlada, o arquivo era inofensivo, mas poderia ser um malware. A ESET também explica o mecanismo: a IA acredita estar resolvendo algo legítimo, como validar um CAPTCHA, e interage com sites maliciosos ou de phishing.
O mesmo mecanismo já apareceu no Brasil. Em 2026, duas advogadas foram multadas em R$ 84,2 mil pela Justiça do Trabalho em Parauapebas, no Pará, por esconder em letras brancas, em uma petição, um comando para que uma IA contestasse o documento de forma superficial. Segundo as reportagens, uma ferramenta de IA da própria Justiça identificou o comando. As advogadas dizem que o objetivo era proteger o cliente e vão recorrer. Não se tratava de uma página de golpe, mas o caso mostra que um texto escondido consegue falar com a IA.
Documentos e e-mails seguem a mesma lógica. Em 2025, pesquisadores da Aim Security mostraram uma vulnerabilidade crítica no Microsoft 365 Copilot, batizada de EchoLeak (CVE-2025-32711), em que um e-mail com instruções escondidas poderia levar o assistente a expor dados da organização sem que o usuário clicasse em nada. A fabricante corrigiu a falha em junho de 2025 e, segundo a imprensa especializada, não houve evidência de exploração em ambiente real.
Convites de calendário também entram nessa lista, mas aqui o alvo são os agentes de navegador, não o chatbot comum. Em uma pesquisa apresentada em 2026 pela Zenity Labs, que chama essa classe de vulnerabilidades de PleaseFix, um convite de calendário com instruções escondidas permitiu sequestrar o Comet, da Perplexity, sem nenhum clique, levando o agente a acessar arquivos locais e fluxos de gerenciadores de senhas. Os pesquisadores chamam o mecanismo de "colisão de intenções": a ordem maliciosa não parece estranha, ela se mistura ao pedido legítimo do usuário e passa a parecer um passo necessário para concluir a tarefa. Segundo a cobertura do Dark Reading, por ser um problema de projeto dos agentes de navegador, não há uma correção única, embora cada caminho de ataque possa ser corrigido individualmente. As armadilhas podem estar em um e-mail, em um convite de calendário, em uma página da web ou em um link deixado em uma publicação de rede social.
Há ainda o risco potencial de um arquivo lido por uma IA ser malicioso. Em um texto sobre PDFs maliciosos, o WeLiveSecurity mostra um e-mail que imita um tribunal e traz um PDF com a falsa mensagem "Falha ao renderizar o documento" e um botão para abri-lo. Não há casos documentados de um agente de IA comprometido por instruções escondidas em um PDF desse tipo. Quando uma IA apenas lê o texto de um arquivo, em geral ela não o executa, mas um agente com acesso ao navegador ou ao computador pode baixar e abrir arquivos, e vale o mesmo cuidado que se teria com qualquer anexo.
Para o usuário, o ponto é simples. Uma página de golpe, um documento ou um e-mail pode tentar dar ordens ao agente, e a decisão de preencher um formulário ou baixar um arquivo nem sempre parte de quem está usando.
O que dizem OpenAI e Anthropic sobre agentes de IA?
Os assistentes que agem no navegador já existem nos produtos das principais fabricantes, que reconhecem o risco. O modo agente do ChatGPT, da OpenAI, usa um navegador visual para interagir com sites. Segundo a central de ajuda da empresa, há medidas como confirmação do usuário antes de ações de alto impacto, monitoramento de prompt injection e um "modo de observação" em sites sensíveis, mas a própria OpenAI afirma que elas não eliminam todos os riscos e orienta, por exemplo, ativar só os aplicativos necessários e evitar logins sensíveis.
A Anthropic, que desenvolve o Claude, descreve o mesmo problema no Claude in Chrome, extensão capaz de clicar em botões e preencher formulários. A empresa diz que sites, e-mails e documentos podem esconder instruções para levar a IA a agir sem que o usuário saiba, como apagar arquivos, roubar dados ou fazer transações financeiras. Em uma publicação de novembro de 2025, a Anthropic relatou avanços em suas defesas, mas ressaltou que o problema está longe de resolvido e que nenhum agente de navegador é imune.
As duas empresas apostam em dar o controle ao usuário. A Anthropic informa que o Claude pergunta antes de ações de alto risco, como compras, publicações e compartilhamento de dados pessoais, e permite liberar ou bloquear o acesso a sites específicos. A empresa também recomenda evitar o uso do navegador em sites financeiros, jurídicos e médicos.
Como se proteger?
Para reduzir o risco de cair em um site falso, seja pesquisando por conta própria ou com a ajuda de um assistente de IA, algumas medidas simples fazem grande diferença:
- Entre na loja pelo aplicativo ou digitando o endereço oficial, e não por um link sugerido por uma IA ou por um anúncio.
- Confira o domínio com atenção antes de informar qualquer dado, porque pequenas trocas de letras são comuns.
- Não confie na posição do resultado. Sites falsos aparecem tanto em anúncios quanto entre os resultados comuns da busca, como já alertou a ESET Latinoamérica, e a ausência do selo "Patrocinado" não garante que a página seja legítima.
- Nos anúncios do Google, clique nos três pontos ao lado do resultado para abrir a central de anúncios e conferir quem é o anunciante. Nos resultados comuns, confira o endereço com atenção.
- Desconfie de lojas recém-criadas, de preços muito abaixo do mercado e do Pix como única forma de pagamento.
- Se usar um assistente ou navegador com IA, prefira um perfil separado para ele, sem cartões, senhas salvas ou login automático em contas como e-mail e banco. Exija confirmação antes de qualquer ação e leia o que será feito antes de aprovar.
- Não peça a um agente para abrir links, arquivos, e-mails ou convites de origem desconhecida, e limite o acesso dele às suas pastas.
- Desconfie de telefones, e-mails, sites ou dados de pagamento informados por um assistente de IA e confira sempre nos canais oficiais da empresa.
- Revise as extensões instaladas no navegador e remova as que você não usa, principalmente as que pedem acesso amplo aos sites que você visita.
- Denuncie pelo canal oficial da marca.
A IA amplia a superfície de ataque, e a supervisão humana segue essencial
Assistentes de IA continuam úteis para pesquisar e comparar, mas eles ampliam a superfície de ataque: cada página, e-mail ou documento que uma IA lê pode virar um caminho para o golpe. Por isso, a supervisão humana é e continuará sendo muito importante. Conhecer esses riscos permite aproveitar as novas possibilidades que a IA traz de forma segura. Antes de informar dados ou confirmar um pagamento, vale conferir o domínio, entrar pela loja oficial e, se um agente estiver agindo, acompanhar o que ele faz.
