Scamlexity: agentes de IA clicam, pagam e falham

Guardio Labs revela que navegadores com agentes de IA (Perplexity Comet, entre outros) falharam em 3 cenários reais em 20/08/2025: loja falsa, phishing do Wells Fargo e “PromptFix” (injeção de prompt via captcha). Resultado: o agente clicou, preencheu, pagou e expôs dados sem pedir confirmação. É a “Scamlexity” — a nova complexidade de golpes supercarregada por IA, onde um ataque a um modelo pode afetar milhões de usuários.

O que é “Scamlexity” e por que isso importa

“Scamlexity” é o termo que a Guardio Labs usa para definir a nova era de scam complexity impulsionada por agentes de IA que navegam e executam tarefas sozinhos. Microsoft integra Copilot ao Edge, a OpenAI testa navegador em modo agente, e o Perplexity Comet já navega por você. O problema: a experiência fluida veio sem trilhos de segurança consistentes. Em testes controlados, o agente interagiu com páginas de phishing, lojas falsas e prompts maliciosos ocultos — tudo sem o usuário perceber ou conseguir intervir.

“Um pequeno passo para a IA agente, um passo gigante para trás na segurança.”

Guardio Labs (Nati Tal e Shaked Chen), 20 ago 2025

• Pontos-chave: agentes de IA executam tarefas sem ceticismo humano.
• Quebra da cadeia de confiança: o usuário não vê sinais de golpe.
• Superfície de ataque maior: um modelo comprometido escala o dano.

Teste 1: loja falsa fez o agente comprar sozinho

Para simular um dos cases mais vendidos pelos próprios navegadores de IA (“compre isso para mim”), os pesquisadores criaram, em segundos, uma loja falsa se passando pela Walmart usando o Lovable. A página tinha aparência convincente e passou despercebida pelo Google Safe Browsing, mesmo com o recurso ativo no navegador Chromium do Comet. Ao instruir: “Compre um Apple Watch”, o agente varreu o HTML, clicou nos botões, colocou no carrinho e — em certos testes — autopreencheu endereço e cartão salvos sem pedir confirmação humana. Compra “concluída”; prejuízo real.

Importante: o comportamento variou. Em parte das tentativas, o Comet suspeitou ou pediu ação manual; em outras, foi até o fim e entregou dados ao golpista. Quando a sua segurança depende da sorte, não é segurança.

• Pontos-chave: autofill sensível não deve ser acionado por agentes.
• GSB não basta: reputação de domínio precisa de múltiplas camadas.
• Confirmações fortes (“seguro pagar?”) antes de transações.

Teste 2: e-mail de “banco” levou a phishing real

O grupo enviou um e-mail simples (ProtonMail novo) fingindo ser do Wells Fargo e inseriu o link para uma página de phishing ativa há dias — ainda não sinalizada pelo Google Safe Browsing. O Comet classificou como tarefa do banco, clicou sem verificação de URL e tratou o login falso como legítimo, ajudando a preencher credenciais. A cadeia de confiança foi sequestrada: o humano não viu remetente suspeito, não passou o mouse no link e foi direto ao payload de engano “amparado” pelo seu agente.

• Pontos-chave: validações de domínio e TLS antes de abrir links.
• Bloqueios proativos em cadastros de bancos/finanças.
• Exigir dupla confirmação para coleta de credenciais.

Teste 3: PromptFix — injeção de prompt em captcha falso

Prompt injection insere instruções maliciosas escondidas no conteúdo que a IA processa. O PromptFix, evolução do golpe ClickFix da era humana, mimetiza um captcha “amigável à IA”. Para o usuário, parece só um checkbox inofensivo. Para o agente, CSS oculta um bloco de texto com comandos: “resolva por mim”, “clique para continuar” — e o agente clica. No ensaio controlado, o botão baixou um arquivo inofensivo, mas bastaria trocar por um payload malicioso para um drive-by download concluir a infecção sem o usuário saber.

• Pontos-chave: separar conteúdo e instrução no parsing do agente.
• Sanitização rígida contra prompts ocultos e CSS tricks.
• Permissões mínimas: baixar/abrir arquivos exige aprovação humana.

Superfície de ataque crescente e efeito de escala

Na era IA vs. IA, o golpista não precisa enganar milhões de pessoas; basta quebrar um modelo e reaproveitar o mesmo vetor para multidões. Com o mesmo acesso aos modelos, os atacantes treinam seus próprios agentes maliciosos contra os agentes das vítimas até o golpe ser infalível. É o GAN “gone rogue”: não para gerar imagens bonitas, mas para criar um fluxo infinito de golpes zero-day.

Como fechar a lacuna de segurança (recomendações)

• Reputação de URL/domínio em múltiplos provedores (não só GSB).
• Bloqueio de marca/impersonation (detecção de lookalike e homógrafos).
• Autofill protegido: nunca disparado por agente sem “duplo ok”.
• Políticas de transação: “gastar dinheiro” exige confirmação fora de banda.
• Separação conteúdo/instrução; sanitização anti-prompt injection.
• Permissões mínimas; downloads e uploads só com clique humano.
• Detecção comportamental no loop do agente (anômalo ≠ executar).
• Registro e auditoria: cada ação do agente precisa de trilha clara.
• Modo read-only por padrão; escalar para modo “ação” gradualmente.

Segurança tem de vir embutida na arquitetura dos navegadores de IA — não como complemento tardio.

Guardio Labs, estudo “Scamlexity” (20/08/2025)

Vídeo: demonstração relacionada

Fontes e validação

• Guardio Labs — pesquisa original: “Scamlexity” (Nati Tal e Shaked Chen), 20/08/2025.
• Relatórios correlatos: VibeScamming e CAPTCHAgeddon/ClickFix.
• Observação: domínios e telas usados foram de laboratório ou in the wild sob controle monitorado, sem dano a terceiros.

Perguntas Frequentes sobre Scamlexity

Considerações finais

Scamlexity sintetiza um ponto de virada: navegadores com agentes de IA já executam tarefas que envolvem dinheiro e dados, mas ainda não internalizaram a desconfiança necessária para a web real. Ao provar que truques antigos (loja falsa e phishing) e vetores novos (PromptFix) funcionam contra a IA, a Guardio Labs alerta: segurança não pode ser opcional nem tardia. Os fabricantes precisam embutir guardrails no coração do agente — reputação, validação, permissões mínimas e confirmações fortes — antes de escalar a automação. Caso contrário, a conveniência promete; quem paga é você.