Como Deixar um Agente de IA Usar Seu Computador com Segurança

Seja qual for o espaço que você escolher, trate-o como uma mesa nova, não a sua de sempre. Faça login apenas na uma ou duas contas que a tarefa realmente exige, e deixe tudo o mais deslogado. Se a tarefa é reservar um único compromisso em um site de agendamento, esse site é a única coisa que precisa de uma sessão; seu e-mail, seu banco, e suas ferramentas de trabalho não pertencem ao mesmo espaço só porque seria conveniente tê-los à mão.

Mantenha um gerenciador de senhas e qualquer acesso bancário totalmente fora desse espaço, não apenas deslogados, mas nunca salvos lá em primeiro lugar. A orientação de segurança da Anthropic para o computer use do Claude é direta sobre isso, alertando contra dar ao modelo acesso a dados sensíveis, como informações de login de contas, especificamente para evitar roubo de informações. A mesma lógica se aplica a qualquer fornecedor de agente que você estiver usando: o agente não consegue expor ou usar indevidamente uma credencial que nunca foi colocada ao seu alcance.

Isso importa ainda mais quando o agente precisa estar logado em alguma coisa. A própria orientação de prompting da Anthropic observa que usar o computer use dentro de aplicativos que exigem login aumenta o risco de um resultado ruim de um ataque de prompt injection, e recomenda revisar como reduzir esse risco antes de entregar qualquer credencial de login. Uma conta limitada e descartável para o único serviço de que você realmente precisa é um pequeno inconveniente diante desse risco.

Um agente de computer use não lê apenas suas instruções. Ele também lê o que estiver nas páginas, documentos, e e-mails que abre pelo caminho, e parte desse conteúdo pode carregar instruções próprias, direcionadas ao agente em vez de a você. Isso é chamado de prompt injection: uma frase escondida em uma página da web ou um e-mail que tenta redirecionar o agente para fazer algo que você nunca pediu, como visitar um site diferente, compartilhar informações, ou repetir uma ação indesejada.

A documentação da Anthropic para o computer use do Claude afirma isso claramente: em algumas circunstâncias, o Claude segue comandos encontrados no conteúdo mesmo quando eles conflitam com as próprias instruções do usuário, dando o exemplo de instruções em páginas da web ou dentro de imagens que sobrescrevem o que você pediu. A Anthropic acrescenta que ela roda classificadores automáticos para escanear o que as ferramentas de computer use retornam, como capturas de tela, para sinalizar possíveis tentativas de injection, mas é igualmente direta ao dizer que as precauções de isolar o agente de dados e ações sensíveis continuam importantes mesmo com esses classificadores funcionando.

Esse último ponto é o que vale lembrar em qualquer versão desse recurso de qualquer fornecedor, não só a do Claude. Uma verificação de segurança automatizada é uma segunda camada, não um substituto para a primeira: mantenha o agente fora das suas contas sensíveis para que mesmo uma tentativa de injection bem-sucedida tenha muito pouco a fazer de fato uma vez lá dentro.

Trate o fim de uma sessão de computer use como você trataria a revisão do primeiro dia de um novo contratado: olhe para o que realmente aconteceu, não só se o resultado final parece certo. Peça ao agente para listar cada página que visitou, cada conta que tocou, e cada campo em que digitou, em ordem, e compare isso com o que você esperava que a tarefa exigisse.

A documentação da Anthropic para o Claude observa que várias ações podem ser agrupadas em um único 'lote', completando uma sequência de múltiplas etapas dentro de um turno, e especificamente recomenda que, se seu aplicativo pede a confirmação de um humano para ações consequentes, essa verificação precisa acontecer antes de cada etapa do lote rodar, não só uma vez no final. A versão prática desse conselho para qualquer pessoa usando essas ferramentas diretamente é a mesma: não espere uma sequência longa terminar completamente para começar a prestar atenção.

Um hábito rápido de revisão também pega os erros comuns que não têm nada a ver com segurança: um campo digitado na caixa errada, uma etapa pulada, uma página que não carregou do jeito que o agente assumiu. Reler o que aconteceu é barato. Descobrir um erro depois do fato, depois que uma mensagem foi enviada ou um formulário foi submetido, não é.

Comece com o menor espaço que plausivelmente consiga fazer o trabalho. Uma única consulta rápida em um site público não precisa de uma máquina virtual; um perfil de navegador novo é suficiente. Guarde as opções mais pesadas, uma conta de sistema operacional dedicada ou uma máquina virtual completa, para tarefas que você vai repetir, tarefas que tocam em mais de um site, ou qualquer coisa com a qual você ainda está se familiarizando.

Escreva a tarefa de forma restrita antes de entregá-la. 'Encontre as três passagens mais baratas no site dessa companhia aérea e liste para mim' é uma tarefa que um agente consegue fazer com quase nenhum risco envolvido. 'Reserve a passagem que parecer melhor' entrega uma decisão e um pagamento em uma única etapa, que é exatamente o tipo de tarefa que pertence a uma regra de aprovação humana, não dentro da própria instrução.

Observe as primeiras sessões de perto, mesmo em um espaço isolado. O isolamento limita o tamanho do dano que um erro pode causar; ele não diz se o agente está fazendo a tarefa bem. Uma vez que você tenha visto ele lidar com algumas execuções do jeito que você esperava, você pode relaxar sua atenção para aquela tarefa específica e restrita, mas não para uma nova que você ainda não tentou.

Por fim, assuma que a configuração que você usa hoje vai precisar de uma segunda olhada depois. Os fornecedores mudam o que seus agentes conseguem fazer, quais configurações existem, e quais padrões se aplicam, muitas vezes dentro de meses do lançamento de um recurso. Revisite sua própria configuração, e a documentação atual daquele fornecedor, antes de confiar em um agente para algo maior do que o que você testou primeiro.

Um perfil de navegador limpo, uma conta separada, ou uma máquina virtual, todos limitam o raio de dano de um erro. Nenhum deles torna o agente melhor em julgamento, e nenhum deles impede que uma página de golpe convincente desperdice uma hora do tempo de uma sessão isolada, mesmo que ela não consiga alcançar nada que importe uma vez lá dentro. Isolamento é sobre o que o agente consegue tocar, não sobre se ele vai interpretar uma situação corretamente.

Também não substitui realmente olhar para o resultado. Um agente rodando dentro de uma máquina virtual ainda pode preencher um formulário com a informação errada, interpretar mal uma página confusa, ou concluir uma tarefa de um jeito que é tecnicamente correto mas não é o que você queria. O hábito de revisão descrito antes neste guia importa, seja o agente rodando na configuração mais isolada disponível ou na menos isolada.

Por fim, nada aqui é uma configuração única que você termina e esquece. Anthropic, OpenAI, Microsoft, e Google estão todas ainda desenvolvendo ativamente seus recursos de computer use e navegação agêntica, o que significa que as configurações, padrões, e proteções específicas disponíveis para você podem mudar de uma sessão para a próxima. Trate este guia como os hábitos que continuam úteis ao longo dessa mudança, e verifique a documentação atual do próprio fornecedor para os nomes exatos de recursos e configurações na sua frente agora.