Muita gente já usa assistentes de IA para pesquisar, comparar preços e resumir textos. Agora, esses assistentes também pesquisam na web, abrem links e, em alguns casos, clicam e preenchem formulários no lugar da pessoa. A ESET analisou o que acontece quando a página indicada pela IA é falsa.

Existem três caminhos principais para isso: respostas de busca com links maliciosos, conhecidos como SEO poisoning, agentes que navegam e executam ações, e instruções escondidas em páginas, e-mails e documentos, chamadas de prompt injection. Segundo pesquisas citadas pela ESET, 71% dos adultos conectados no Brasil já usaram chatbots, contra 62% na média global. Por isso, criminosos têm interesse nesse novo canal, embora a ESET diga que ainda não há evidência de uso generalizado de chatbots em golpes.

Ler uma página falsa é um risco de informação, mas agir dentro dela pode causar prejuízo financeiro. Em testes da Guardio Labs, em agosto de 2025, o navegador Comet, da Perplexity, em alguns casos adicionou produto a uma loja falsa e preencheu endereço e cartão salvos sem pedir confirmação. Em outro teste, seguiu um e-mail falso que imitava um gerente do Wells Fargo e abriu uma página de login fraudulenta. A ESET lembra que esses resultados retratam aquele momento e que as ferramentas mudam rápido.

Em maio de 2026, a Microsoft relatou sites falsos que imitavam utilitários como CrystalDiskInfo, HWMonitor e PDFgear, voltados a usuários com placas de vídeo potentes. Esses sites subiam nos resultados por SEO poisoning, e houve relatos de que chatbots recomendaram links para domínios dos atacantes. O arquivo baixado instalava o ScreenConnect, ferramenta legítima de gerenciamento remoto, e depois um software de mineração de criptomoedas. A Microsoft identificou mais de 150 domínios maliciosos ligados à campanha e disse que o exemplo é ilustrativo, sem indicar problema sistêmico em um serviço específico.

O prompt injection funciona quando a página, o e-mail ou o documento contém um texto escondido, por exemplo em letras brancas sobre fundo branco, que a IA lê e trata como ordem do usuário. A OpenAI dá o exemplo de um comentário malicioso que orienta o agente a buscar um código de redefinição de senha no Gmail e enviá-lo a um site malicioso. Em 2025, uma falha crítica no Microsoft 365 Copilot, chamada EchoLeak (CVE-2025-32711), mostrou que um e-mail com instruções escondidas podia levar o assistente a expor dados sem que o usuário clicasse em nada. A Microsoft corrigiu a falha em junho de 2025, e não houve evidência de exploração real.

Como o problema está no próprio funcionamento dos agentes de navegador, o Dark Reading, citado pela ESET, afirma que não há uma correção única, embora cada caminho de ataque possa ser corrigido separadamente. OpenAI e Anthropic reconhecem o risco: dizem pedir confirmação antes de ações de alto impacto, mas admitem que nenhuma medida elimina todos os riscos. Para se proteger, a ESET recomenda entrar nas lojas pelo aplicativo ou pelo endereço oficial, conferir o domínio, desconfiar de preços muito baixos e de lojas recém-criadas, usar um perfil separado para o agente sem cartões ou senhas salvas, revisar extensões do navegador e confirmar telefones e dados de pagamento nos canais oficiais da empresa.