extensão de IA no navegadorextensão Claude Chrome falhainjeção de promptbloquear extensões Chrome empresa

Extensões de IA no navegador: o caso do Claude e a regra da empresa

Uma extensão de IA no navegador lê as páginas abertas e pode agir em nome do funcionário no e-mail, no drive e nos sistemas da empresa. Uma página maliciosa pode dar ordens a ela. A empresa precisa de uma lista de extensões aprovadas, aplicada pela política do navegador, e de limites para o que a extensão acessa.

Por Equipe CyberArmor26 de março de 2026

O que aconteceu com a extensão do Claude para o Chrome?

Em 26/03/2026, o pesquisador Oren Yomtov, da empresa de segurança Koi Security, publicou a pesquisa ShadowPrompt. Ele mostrou que qualquer site podia enviar ordens à extensão do Claude para o Chrome, da Anthropic, como se o próprio usuário tivesse digitado. Bastava visitar a página. Não havia clique nem pedido de permissão.

O ataque juntava dois defeitos. A extensão aceitava mensagens de qualquer endereço terminado em claude.ai. E um componente de CAPTCHA da Arkose Labs, hospedado num desses endereços, tinha uma falha de XSS (cross-site scripting, quando um site deixa rodar código de terceiros dentro dele). A página do atacante carregava esse componente escondido, usava o XSS para rodar código no endereço confiável e, de lá, mandava a ordem à extensão.

Segundo a Koi, um atacante poderia roubar o token de acesso ao Gmail, ler o Google Drive, exportar o histórico de conversas e enviar e-mails em nome da vítima.

A linha do tempo publicada pela Koi Security é esta:

26/12/2025: falha relatada à Anthropic pelo programa de recompensas HackerOne;
15/01/2026: a Anthropic corrigiu a extensão, que passou a aceitar só o endereço exato https://claude.ai;
19/02/2026: a Arkose Labs corrigiu o XSS no componente;
24/02/2026: novo teste confirmou que tudo estava resolvido.

A Koi recomenda conferir se a extensão está na versão 1.0.41 ou superior. A pesquisa foi divulgada depois da correção. A cobertura da SOCRadar de 27/03/2026 registra que as fontes públicas não confirmaram exploração real contra usuários.

Por que extensões de IA no navegador são um risco diferente?

Uma extensão comum mexe em uma coisa só, como bloquear anúncios ou corrigir texto. Uma extensão de IA lê o conteúdo das páginas abertas e, nas versões com agente, clica, preenche formulários e navega em nome do usuário. No navegador do funcionário estão abertos o e-mail, o drive, o banco, o ERP e o CRM, todos com a sessão já logada.

Para o negócio, isso significa que a extensão age com o acesso do funcionário em todos esses sistemas. Se alguém de fora conseguir dar ordens a ela, essas ordens saem com o nome dele.

Por que nenhum fabricante consegue zerar a injeção de instruções?

O caso da Koi dependia de um defeito técnico que foi corrigido. Existe um risco mais amplo que nenhuma correção elimina: a injeção indireta de instruções. A OWASP, no item LLM01:2025, descreve esse ataque como ordens escondidas no conteúdo que a IA lê, como páginas, arquivos e e-mails. A própria OWASP avisa que nenhum método é totalmente seguro contra ele.

A Anthropic publicou números dos próprios testes ao lançar a extensão. No post de 25/08/2025, a empresa informou que ataques de injeção tiveram sucesso em 23,6% dos casos de teste sem proteções. Com as proteções do modo autônomo, a taxa caiu para 11,2%. O mesmo post descreve as defesas que o usuário controla: permissão por site, confirmação antes de ações de risco, como publicar, comprar ou compartilhar dados pessoais, e bloqueio de categorias de sites, como serviços financeiros.

A lição vale para qualquer extensão de IA. Mesmo com o fabricante investindo em defesa, parte dos ataques passa. A empresa precisa limitar o que a extensão alcança.

Que regra a empresa deve definir para extensões de IA?

As medidas que funcionam aqui ficam no navegador e na política de uso. Configurar CSP ou WAF protege o site da empresa. A extensão instalada no computador do funcionário fica fora dessa proteção. A regra mínima tem cinco pontos:

Lista de extensões aprovadas. Só entram extensões de IA avaliadas pela empresa. O resto fica bloqueado.
Conta corporativa. A extensão aprovada usa a conta da empresa, com termos de uso conhecidos, e nunca a conta pessoal do funcionário.
Sites fora do alcance. Banco, folha de pagamento, ERP e sistemas com dados de clientes ficam fora da lista de sites que a extensão pode ler.
Confirmação humana. Ações de envio, compra, publicação e alteração de cadastro exigem confirmação do funcionário.
Atualização automática. A extensão aprovada recebe as correções do fabricante assim que saem.

Como bloquear extensões não aprovadas no Chrome da empresa?

O Chrome gerenciado pela empresa aceita essas regras por política. A página de ajuda do Google sobre políticas de apps e extensões explica como bloquear todas as extensões e liberar só as de uma lista, pelo identificador de cada uma. A mesma página mostra como impedir que uma extensão interaja com sites específicos e como bloquear extensões que pedem certas permissões.

Quem administra o Google Workspace ou o Microsoft Intune consegue distribuir essas políticas para todos os computadores da empresa. Sem gestão central, a regra depende da boa vontade de cada funcionário.

Extensões falsas ou adulteradas são outro risco do mesmo canal. O artigo sobre extensões maliciosas de IDE e de navegador trata desse caso. Para agentes de IA ligados ao e-mail e aos sistemas, veja os riscos de assistentes de IA com acesso ao e-mail da empresa.

Por onde começar na sua empresa?

O primeiro passo é saber quais extensões e ferramentas de IA já estão nos computadores da equipe. O Diagnóstico de uso de IA da CyberArmor acompanha por 30 dias quais ferramentas de IA a equipe usa e o que é enviado a elas, sem interromper o trabalho. Os analistas da CyberArmor entregam um relatório com os riscos encontrados e a política de uso, incluindo a lista de extensões permitidas.

Falar com um especialista

Fontes