Um pesquisador de segurança demonstrou que é possível enganar o Claude, da Anthropic, para que ele entregue dados pessoais de um usuário a um atacante — nome completo, empregador atual e até respostas de perguntas de segurança. Tudo isso sem nenhum sinal visível de que algo errado aconteceu. O ataque explora justamente o recurso que deveria facilitar a vida de quem usa: a memória do assistente.
A descoberta é de Ayush Paul, que vem estudando sistemas de memória de IA e alerta para um ponto que costuma passar batido: o lado da segurança.
O que os assistentes de IA já sabem sobre você
Ferramentas como o Claude acumularam alguns dos perfis mais densos que existem sobre milhões de pessoas. As pessoas confiam a esses assistentes praticamente tudo: assuntos confidenciais de trabalho, segredos pessoais, problemas de relacionamento.
Com o tempo, esse histórico de conversas vira uma reconstrução fiel de quem você é. E, nas mãos erradas, esse perfil pode servir para chantagem, falsificação de identidade ou para burlar perguntas de segurança usadas em bancos e outros serviços.
Segundo Paul, o problema é que essa base de dados é frequentemente mais completa que a de um gerenciador de senhas — mas recebe muito menos atenção em termos de proteção.
Como o ataque funciona
O Claude usado no dia a dia (o claude.ai, não o Claude Code) tem um sistema de memória em duas partes. A primeira é um resumo diário: suas conversas recentes são condensadas em alguns parágrafos sobre você, injetados em toda nova conversa para o assistente não começar do zero.
A segunda é uma ferramenta de busca, a conversation_search, que vasculha todo o seu histórico sob demanda. Segundo o pesquisador, o sistema de memória em si é seguro. O problema aparece quando ele é combinado com um agente capaz de navegar na web.
Para roubar esses dados, é preciso encontrar uma forma de tirá-los do ambiente isolado do Claude — o que em segurança se chama de vetor de exfiltração. Paul mirou nas capacidades de navegação do assistente, que tem duas ferramentas embutidas para acessar a internet: web_search e web_fetch.
A web_fetch foi feita para ser somente leitura, deixando o Claude ver o conteúdo de qualquer URL. Mas se o Claude acessa um site controlado pelo atacante, dá para detectar esse acesso — e embutir informações do usuário no próprio endereço solicitado. Foi por aí que o pesquisador conseguiu fazer os dados saírem sem que nada aparecesse na tela.
Por que isso importa para você
Esse tipo de falha entra na categoria de injeção de prompt indireta: instruções maliciosas escondidas em uma página ou em um pedaço de texto que o assistente processa sem questionar. O ataque não depende de configurações experimentais nem de recursos exóticos — a intenção do pesquisador era justamente mostrar algo que funciona no uso comum.
A memória personalizada é vendida como conveniência, mas ela cria uma superfície de risco nova. Quanto mais o assistente sabe sobre você, mais valioso ele se torna como alvo. E como o vazamento aconteceu de forma silenciosa, o usuário não teria como perceber que foi comprometido.
Na prática, vale ter cuidado com o que se compartilha com assistentes de IA e revisar quais permissões de memória e navegação estão ativadas. A responsabilidade principal, porém, é das empresas: recursos de agente que navegam na web e acessam memória pessoal precisam de barreiras mais sólidas contra exfiltração de dados. O episódio é um lembrete de que conveniência e segurança nem sempre andam juntas.
Fonte: Ayush Paul · Imagem de capa: Ayush Paul
Quer aplicar IA no seu trabalho?
Aprenda qual ferramenta usar para cada tarefa — ChatGPT, Claude, Copilot, Gemini e NotebookLM — nos cursos do IA Todo Dia.
Conhecer os cursos →