O que uma extensão de IA no navegador consegue ler das suas abas?

Fala aí, beleza? Aquela caixinha de permissões que aparece na hora de instalar é a parte mais importante do processo, e é exatamente a que todo mundo aceita no automático

Uma extensão de IA no navegador não fica presa numa aba só

Se ela recebeu acesso a todos os sites, ela alcança o painel do cliente, a caixa de e-mail, o documento com NDA e o board do projeto, tudo que estiver aberto ali do lado

E a resposta pra "o que ela consegue ler, afinal?" já está escrita, em português, dentro dos próprios avisos do Chrome

Aqui eu traduzo cada aviso pra linguagem de usuário, mostro os três níveis de acesso que dá pra escolher, conto um caso real de campanha de extensões que se passavam por assistentes de IA e comparo com o jeito que uma extensão oficial trata a mesma questão

Bora?

O que cada permissão do Chrome concede na prática

O Chrome avisa, na instalação, o que a extensão vai poder tocar

O problema é que o aviso é curto e o significado é grande, então vamos um a um, direto da página de ajuda do Google sobre permissões de extensões

"Suas guias e atividades de navegação"

Permite ver os URLs e os títulos dos sites visitados, além de abrir e fechar guias e janelas e navegar para novas páginas

Ou seja: não é só olhar, é também mexer

"Seu histórico de navegação"

Permite ler e limpar o histórico de navegação

"Seus favoritos"

Permite ler, alterar, adicionar e organizar os favoritos

"Seu local físico"

Permite usar o local atual do computador ou dispositivo

E aqui entra o recado mais honesto de todos, que é do próprio Google: "O aviso não significa que o app é perigoso, apenas que ele pode ser"

Isso muda o jeito de pensar, né? A permissão descreve CAPACIDADE, não intenção

A extensão que você instalou hoje pode ser ótima, e a mesma capacidade continua lá amanhã, com outro dono, outro update, outro comportamento

Formação Recomendada

Formação Vibe Coding

Do Prompt ao Produto: Crie Software Real com IA

• 474 aulas
• 20 projetos
• 39h 27min

Conhecer formação

Os três níveis de acesso a sites: qual escolher

O Chrome oferece três níveis de acesso a sites para uma extensão, e quem escolhe é você

Repara na coluna do meio, porque é ali que mora a diferença real

A configuração "Em todos os sites" é a única que permite que a extensão leia e mude AUTOMATICAMENTE os dados em todos os sites

Já "Ao clicar na extensão" dá acesso apenas ao site aberto na guia ou janela no momento do clique, o que é bem diferente de estar ligada o tempo todo em cima de tudo

Como revisar e mudar o acesso de uma extensão no Chrome

O caminho é curto, e provavelmente você nunca abriu essa tela 😅

1. No canto superior direito do Chrome, clica em "Mais"
2. Vai em "Extensões" e depois em "Gerenciar extensões"
3. Na extensão que você quer revisar, clica em "Detalhes"
4. Se preferir o atalho, dá pra fazer pelo próprio ícone da extensão: clica em "Mais" e posiciona o cursor sobre "Pode ler e alterar os dados do site" pra escolher a permissão
5. Pra liberar só alguns domínios, troca a opção "Permitir que a extensão leia e modifique todos os seus dados nos sites que você visitar" para "Em sites específicos"
6. À direita de "Sites permitidos", clica em "Adicionar" e coloca só os domínios onde aquela extensão faz sentido

O erro comum aqui é clássico: no primeiro uso a gente deixa tudo em "Em todos os sites" pra ferramenta "só funcionar", promete voltar depois pra ajustar, e nunca volta

Tome cuidado! Esse "depois" é o que transforma uma escolha temporária em acesso permanente a tudo que você abre

Outro tropeço frequente é achar que "Em sites específicos" quebra a extensão

Na maioria dos casos ela só para de agir onde você não autorizou, que é exatamente o que você queria

O caso AiFrame: quando a permissão vira vazamento

Agora sai da teoria

A LayerX identificou uma campanha de extensões que se passavam por assistentes de IA no Chrome, batizada de AiFrame

Eram 30 extensões do Chrome com o mesmo código, as mesmas permissões e a mesma infraestrutura de backend, somando mais de 260.000 usuários

E a arquitetura é o detalhe que dói

Em vez de processar localmente, essas extensões exibiam um iframe em tela cheia apontando para um domínio remoto ("claude.tapnetic[.]pro"), e todas se comunicavam com infraestrutura sob o domínio tapnetic[.]pro

O que isso significa na prática? Que os operadores podiam introduzir novos comportamentos sem passar por atualização na Chrome Web Store

A extensão que você revisou na instalação não é necessariamente a mesma coisa que roda amanhã

E tem o ponto que fecha o argumento do post inteiro: um subconjunto de 15 dessas extensões rodava um content script em mail.google.com

Ao acionar recursos como resposta ou resumo por IA, o texto da mensagem e dados de contexto eram enviados para servidores de terceiros controlados pelo operador da extensão, fora do perímetro de segurança do Gmail

Não foi invasão de servidor, não foi senha vazada

Foi o usuário concedendo acesso ao site e a extensão usando esse acesso exatamente como o aviso do Chrome descreveu que ela poderia

O que eu vi usando uma extensão de IA multi-aba no dia a dia

Pra falar disso sem ser só teoria, eu venho usando uma extensão de IA multi-aba no Chrome, a Clico, dentro do meu fluxo real de pesquisa: acompanhar novidade de IA, decidir se aquilo vale um vídeo e montar o roteiro sem sair da aba

Instalei no Chrome e, ao recarregar a página, apareceu um indicador discreto sinalizando que a ferramenta estava ativa ali

Depois disso é atalho de teclado e pergunta: eu falei com a página aberta sem nem clicar no ícone da extensão

Fiz uma checagem sobre uma notícia e ela buscou na internet e devolveu a resposta resumida dentro da própria aba, sem eu abrir o buscador

Selecionei um trecho do texto e disparei a pesquisa a partir da seleção, e voltou resumo mais fontes pra eu aprofundar depois

Mas o caso central é o multi-aba mesmo

Com um documento aberto, referenciei OUTRA aba pelo seletor de abas e pedi uma cena de roteiro sobre o conteúdo daquela aba, sem trocar de janela

Repeti o fluxo com uma segunda novidade, referenciando mais uma aba aberta, e dessa vez pedi um outline em vez de roteiro pronto

A resposta misturou o conteúdo da página referenciada com informação buscada na web, o que pra mim foi mais contexto e não menos

Usei também o resumo rápido da página inteira por atalho, só pra decidir se valia continuar lendo a notícia

E tem o painel: dá pra trocar o modelo, ligar ou desligar o destaque na página e consultar o histórico do que foi feito

No painel web tem playground pra testar recursos isolados, histórico, instruções personalizadas e escolha de idioma (no automático a saída veio em português, seguindo o idioma do navegador)

Testei até o ditado por voz: segurei a tecla, falei, e a fala virou prompt transcrito na caixa de texto, com a busca rodando em cima daquilo

Veredito honesto? O texto que sai é material bruto

Eu copio, corto e reescrevo no meu estilo, e por isso prefiro pedir outline a roteiro fechado

E o momento em que a ficha cai é justamente o melhor recurso: quando eu referencio uma aba e a resposta chega comentando o conteúdo dela, fica evidente que aquele texto foi LIDO

Se fosse a aba de um contrato de cliente, o raciocínio seria o mesmo

E aqui eu aplico em mim a régua que eu pedi pra você aplicar lá em cima, senão fica fácil demais falar 😅

Esse conforto todo (agir na página sem clique, alcançar o conteúdo de outra aba) só existe no nível mais aberto, o "Em todos os sites", que é o único que permite ler e mudar automaticamente os dados em todos os sites

Ou seja: o recurso que eu mais elogiei é o mesmo que eu recomendo não deixar ligado no automático, e eu uso ele sabendo disso, não por distração

Se você quiser o meio termo, é o caminho da seção anterior: "Detalhes" na extensão e troca pra "Em sites específicos", com uma lista curta escrita na mão

Aí o multi-aba continua funcionando onde você autorizou, e só ali

Eu não tenho como te dizer o que cada ferramenta guarda desse conteúdo, porque isso eu não consegui checar em documentação, e não vou chutar

O que dá pra dizer com segurança é o que a permissão habilita, e isso já é decisão suficiente: se o nível de acesso alcança a aba do cliente, a pergunta não é se a ferramenta é boazinha, é se você quer aquele conteúdo dentro do alcance dela

No vídeo acima eu mostro esse fluxo funcionando na tela: o indicador na página, a pergunta por atalho, a referência de uma aba pra outra e o painel onde se troca modelo e se consulta o histórico

AiFrame x Claude in Chrome: a comparação que eu prometi lá em cima

Coloquei os dois lado a lado de propósito, porque eles respondem a MESMA pergunta (uma IA lendo o que está aberto no seu navegador) de jeitos opostos

E assim fica claro que o problema nunca foi "IA no navegador", foi o desenho do controle

O Claude in Chrome está em disponibilidade geral para os planos pagos (Pro, Max, Team e Enterprise)

Ele tem três modos de aprovação, escolhidos pelo usuário no menu suspenso do campo de chat

• Aprovar manualmente: o Claude apresenta um plano, indica quais sites vai acessar e espera sua aprovação
• Aprovar automaticamente: ele segue sozinho, avalia cada ação e bloqueia o que considera inseguro
• Pular todas as aprovações: nada é checado automaticamente

Além disso, dá pra conceder ou revogar o acesso do Claude a sites específicos a qualquer momento nas Configurações

Agora compara ponto a ponto com o que a LayerX descreveu no AiFrame

No AiFrame, quem decidia o comportamento era o operador do domínio remoto, e ele podia introduzir novos comportamentos sem passar por atualização na Chrome Web Store

No Claude in Chrome, no modo de aprovar manualmente, a ferramenta te diz o plano e quais sites vai acessar ANTES de agir

No AiFrame, o texto da mensagem e dados de contexto saíam do Gmail pra servidor de terceiro quando você acionava resposta ou resumo por IA

No Claude in Chrome, o acesso por site fica na sua mão, revogável a qualquer momento nas Configurações

Repara que a diferença não é "extensão boa contra extensão má"

É escopo explícito e revogável de um lado, escopo aberto na mão de quem publica do outro

E olha que o terceiro modo, o de pular todas as aprovações, te devolve pro cenário sem checagem: a escolha continua sendo sua, beleza?

Essa lógica de "me diga o que vai fazer antes de fazer" não é exclusividade do navegador, é a mesma conversa que aparece quando a gente discute agentes atuando nas pull requests: o que muda o jogo é o escopo que você concede, não a boa vontade da ferramenta

E tem um dado interessante, que é HISTÓRICO e precisa ser lido como tal

No piloto do Claude para Chrome, a Anthropic divulgou testes adversariais com 123 casos de teste cobrindo 29 cenários de ataque

A taxa de sucesso de prompt injection no modo autônomo caiu de 23,6% para 11,2% com as mitigações, e em ataques específicos de navegador (campos de formulário ocultos e manipulação de URL) caiu de 35,7% para zero

Repara: isso é resultado do piloto, não medição da versão atual

O que eu tiro daí não é o número em si, é o formato do risco

Uma página pode conter instrução escondida pra IA que está lendo ela, e quanto mais automática a extensão, menos você está no meio do caminho pra barrar

Se você abre material de cliente no navegador, o que muda

Aqui a conversa deixa de ser técnica e vira contrato

Se você trabalha com material de terceiro, o que está aberto nas suas abas é NDA, proposta, planilha de faturamento, painel administrativo de cliente e caixa de e-mail

É literalmente isso que a permissão de ler e modificar dados em todos os sites que você visitar alcança

Minha regra de bolso, e você adapta pro seu caso:

• Extensão de IA entra em "Ao clicar na extensão" por padrão, e só sobe de nível se ela realmente não funcionar assim
• Se ela precisa estar sempre ligada, então "Em sites específicos", com uma lista curta que você escreveu na mão
• Domínio de e-mail e painel de cliente ficam FORA da lista de sites permitidos, mesmo que dê trabalho
• Antes de aceitar, lê o aviso de permissões e pergunta se aquilo faz sentido pro que a extensão promete fazer

Uma extensão que resume página não precisa dos seus favoritos nem do seu local físico, beleza? Quando a permissão não conversa com a função, isso já é informação

Conclusão

O problema nunca foi usar IA no navegador

O problema é conceder acesso irrestrito uma vez, no susto do primeiro uso, e nunca mais voltar naquela tela

Recapitulando o que vimos: o Chrome traduz as permissões em português (guias e atividades, histórico, favoritos, local físico), oferece três níveis de acesso a sites, e só "Em todos os sites" deixa a extensão ler e mudar dados automaticamente em tudo

O caso AiFrame mostra o que acontece quando esse acesso está nas mãos erradas, com content script rodando em mail.google.com e conteúdo de mensagem saindo pra servidor de terceiro

E o Claude in Chrome mostra o outro lado da mesma comparação: modos de aprovação e controle de sites revogável a qualquer momento

Seu próximo passo é bem concreto e leva pouco tempo hoje: abre "Gerenciar extensões", entra em "Detalhes" de cada uma, olha o nível de acesso e rebaixa toda extensão que está em "Em todos os sites" sem precisar

Depois me conta quantas você achou por lá, aposto que vai te surpreender 😀

Até o próximo post!