Conectar uma inteligência artificial ao e-mail, calendário e arquivos pode transformar completamente sua utilidade.
Em vez de apenas responder perguntas, o assistente consegue procurar uma mensagem antiga, localizar um documento, resumir compromissos e utilizar informações pessoais para ajudar em uma tarefa.
Mas essa conveniência cria uma pergunta que merece muito mais atenção:
quando você conecta Gmail, Drive, calendário e outros serviços a uma IA, quanto acesso está realmente entregando?
Uma vulnerabilidade corrigida recentemente no Microsoft Copilot Personal mostrou por que essa pergunta importa.
Pesquisadores da Varonis demonstraram que um link especialmente preparado poderia fazer o Copilot executar instruções dentro da sessão autenticada do usuário e, em determinadas condições, consultar dados aos quais ele já possuía acesso.
O problema recebeu o nome CoSnitch e foi registrado como CVE-2026-24301.
A Microsoft corrigiu a vulnerabilidade em 18 de agosto de 2026.
Os pesquisadores afirmam que não encontraram evidência de exploração real antes da correção.
Isso significa que não há motivo para transformar o caso em pânico.
Mas existe uma lição muito mais importante que continuará válida depois que o nome CoSnitch sair das notícias.
O problema não estava no Gmail ou no Google Drive
Esse detalhe é fundamental.
A pesquisa não mostrou uma invasão do Gmail.
Também não mostrou que o Google Drive havia sido comprometido.
O que aconteceu foi diferente.
Quando alguém conecta um serviço ao Copilot, concede permissões para que o assistente consulte determinadas informações em seu nome.
Se o usuário autoriza acesso ao Gmail, por exemplo, o Copilot pode utilizar esse acesso quando recebe uma solicitação legítima.
O mesmo princípio vale para calendário, arquivos e outros conectores.
A CoSnitch explorava justamente essa relação de confiança.
O problema não precisava conceder ao assistente uma permissão nova.
Ele tentava utilizar as permissões que já estavam disponíveis.
E isso muda bastante a maneira de pensar segurança.
O que os pesquisadores demonstraram?
Segundo a Varonis Threat Labs, a cadeia descoberta envolvia três problemas principais.
O primeiro permitia que um endereço especialmente construído carregasse uma instrução e fizesse o Copilot executá-la automaticamente quando a página fosse aberta em uma sessão autenticada.
Na prática, a vítima precisava abrir o link preparado pelo atacante.
Depois disso, a instrução poderia ser processada como se tivesse sido enviada dentro do próprio Copilot.
O segundo problema estava relacionado aos conectores.
Se o usuário já tivesse autorizado o Copilot a consultar serviços como Gmail, Google Drive, Google Calendar ou OneDrive, uma instrução maliciosa poderia tentar utilizar esses acessos para buscar informações.
O terceiro problema envolvia memória.
Os pesquisadores demonstraram ainda uma forma de inserir instruções maliciosas persistentes quando o Copilot era utilizado para resumir determinadas páginas especialmente preparadas.
São vulnerabilidades diferentes, mas todas revelam a mesma tensão:
uma IA conectada consegue fazer muito porque recebeu confiança para acessar muitas coisas.
O que poderia ser acessado?
Nos testes da Varonis, o Copilot conseguiu consultar informações disponíveis por meio dos conectores autorizados.
Entre os exemplos demonstrados estavam:
- conteúdo de e-mails;
- remetentes e destinatários;
- informações de calendário;
- nomes e informações de arquivos;
- histórico de conversas do Copilot;
- informações armazenadas na memória do assistente.
A pesquisa também mostra um exemplo em que conteúdo sensível presente em um e-mail foi recuperado durante o teste.
Isso não significa que todos os usuários do Copilot tiveram esses dados roubados.
Também não significa que qualquer pessoa que tenha conectado Gmail ao Copilot foi comprometida.
A demonstração mostra o impacto potencial da vulnerabilidade em uma conta que reunisse as condições necessárias.
A falha já foi corrigida
Sim.
A Varonis informou o problema à Microsoft em dezembro de 2025.
As correções foram distribuídas em 18 de agosto de 2026.
A vulnerabilidade também foi registrada oficialmente como CVE-2026-24301.
Segundo os pesquisadores, não há evidência de que a cadeia tenha sido explorada publicamente antes da correção.
Isso precisa ser dito claramente porque existe uma diferença enorme entre:
“pesquisadores demonstraram que um ataque era possível”
e
“atacantes roubaram dados de usuários utilizando esse método”.
No caso da CoSnitch, temos a primeira situação.
Não existe confirmação pública da segunda.
Então por que o caso ainda importa?
Porque a correção resolve a vulnerabilidade específica.
Ela não elimina a pergunta estrutural.
Assistentes de IA estão deixando de ser apenas caixas de texto.
Cada vez mais eles podem receber acesso a:
- e-mail;
- calendário;
- armazenamento;
- documentos;
- contatos;
- histórico;
- memória;
- ferramentas externas;
- aplicativos;
- sistemas de trabalho.
Isso os torna muito mais úteis.
Também significa que um único assistente pode se transformar em um ponto de encontro para informações que antes estavam espalhadas entre vários serviços.
É aqui que começa a mudança de segurança.
Pense na IA como alguém que recebeu várias chaves
Imagine que você tenha uma pessoa ajudando no escritório.
Você entrega a ela:
- chave do arquivo;
- acesso à agenda;
- acesso ao e-mail;
- acesso aos documentos;
- autorização para consultar determinadas pastas.
Essa pessoa consegue trabalhar muito melhor.
Mas, quanto mais chaves ela recebe, mais importante passa a ser saber:
quais realmente são necessárias?
Essa é uma forma simples de entender conectores de IA.
O problema não é necessariamente conceder acesso.
O problema é conceder mais acesso do que a tarefa exige e esquecer que ele continua ativo.
O que significa princípio do menor privilégio?
Existe um conceito antigo em segurança chamado princípio do menor privilégio.
A ideia é simples:
um usuário, aplicativo ou sistema deve possuir somente os acessos necessários para cumprir sua função.
Nada além disso.
Se uma ferramenta precisa consultar apenas seu calendário, talvez não exista motivo para também permitir acesso ao Drive.
Se você conectou um serviço para realizar uma tarefa pontual e nunca mais o utiliza, vale perguntar por que aquela autorização continua ativa.
Esse princípio não nasceu com inteligência artificial.
Mas fica ainda mais importante quando a IA consegue reunir informações de várias fontes numa única conversa.
“Mas eu dei a permissão conscientemente”
Sim.
E isso é justamente o ponto.
Muitas vezes pensamos em segurança apenas como impedir alguém de conseguir uma senha.
Mas existe outra camada:
o que acontece depois que uma aplicação legítima já recebeu autorização?
Conectores normalmente utilizam mecanismos de autorização como OAuth.
Em vez de entregar diretamente sua senha a outro serviço, você concede determinadas permissões.
Essa arquitetura é muito melhor do que compartilhar credenciais.
Mas ela também cria uma relação de confiança.
Enquanto aquela autorização estiver válida, a aplicação poderá utilizar as permissões concedidas dentro das regras do serviço.
Por isso, proteção não termina depois de clicar em “Permitir”.
Leia a tela de permissão antes de aceitar
É comum abrir uma integração, clicar em continuar e aceitar todas as telas rapidamente.
Esse hábito precisa mudar.
Antes de conectar uma IA a outro serviço, observe:
- quais dados ela poderá visualizar;
- se poderá apenas ler ou também modificar;
- se terá acesso a todos os arquivos ou somente alguns;
- se o acesso permanecerá ativo;
- se você realmente precisa daquela integração.
A Valiant já explicou essa lógica em Permissões de aplicativos: como proteger seus dados.
Nem toda conexão representa um risco inaceitável.
Mas nenhuma deveria ser tratada como irrelevante.
Faça uma revisão periódica dos conectores
Existe um comportamento muito comum:
- descobrimos uma nova função;
- conectamos uma conta;
- testamos;
- paramos de utilizar;
- esquecemos que a conexão existe.
Meses depois, a autorização continua ativa.
Uma revisão periódica resolve boa parte desse problema.
Pergunte:
Estou usando essa integração?
Se a resposta for não, remover o acesso pode ser a melhor escolha.
É a mesma lógica utilizada para extensões de navegador e aplicativos instalados.
Menos conexões desnecessárias significam menos superfícies de acesso para administrar.
E quem usa IA no trabalho?
O cuidado precisa ser maior.
Um profissional pode ter no mesmo ambiente:
- contratos;
- documentos de clientes;
- planilhas financeiras;
- mensagens internas;
- calendários;
- propostas;
- apresentações;
- arquivos ainda confidenciais.
Para um criador de conteúdo, podem existir:
- roteiros ainda não publicados;
- dados de parceiros;
- informações comerciais;
- contratos;
- planejamento editorial;
- materiais de clientes.
Conectar tudo automaticamente porque a ferramenta oferece integração pode ser conveniente.
Mas conveniência não deveria substituir avaliação.
A pergunta deve ser:
o ganho operacional justifica esse nível de acesso?
Separar contas pessoais e profissionais pode ajudar
Quando possível, separar ambientes reduz confusão.
Uma conta profissional pode conter apenas:
- documentos de trabalho;
- calendário profissional;
- arquivos relacionados à atividade.
A conta pessoal permanece com informações privadas separadas.
Isso não resolve todos os riscos.
Mas cria limites.
Se um assistente precisa ajudar com trabalho, talvez ele não precise consultar simultaneamente:
- fotos pessoais;
- reservas de viagem;
- documentos familiares;
- mensagens privadas.
Organização também é segurança.
Cuidado com links mesmo dentro de ferramentas confiáveis
A CoSnitch também traz uma lição conhecida da segurança tradicional.
Um link pode parecer confiável porque leva a um domínio legítimo.
Isso não significa automaticamente que tudo que ele provoca é seguro.
No ataque demonstrado pelos pesquisadores, o usuário chegaria ao próprio ambiente do Copilot.
O problema estava nos parâmetros preparados dentro do endereço e na forma como a aplicação os processava.
Isso mostra por que uma boa prática continua válida:
não trate um link como seguro apenas porque reconhece o domínio.
Pergunte por que você recebeu aquele endereço e o que espera que aconteça ao abri-lo.
E resumir páginas com IA?
Aqui aparece outro risco interessante.
Assistentes modernos conseguem abrir uma página e resumir seu conteúdo.
Para nós, isso parece apenas leitura.
Para o modelo, porém, aquele conteúdo entra no contexto que ele precisa interpretar.
Pesquisadores de segurança estudam há anos ataques chamados indirect prompt injection.
A ideia é inserir instruções dentro de um conteúdo que será lido pela IA.
O humano pode enxergar apenas um texto comum.
O modelo pode encontrar, no mesmo conteúdo, instruções tentando alterar seu comportamento.
Na CoSnitch, a Varonis demonstrou um cenário em que conteúdo malicioso dentro de uma página poderia interferir na memória persistente do Copilot.
Isso mostra que “pedir para a IA ler um site” também cria uma relação de confiança com aquele conteúdo.
Memória aumenta utilidade — e também responsabilidade
A memória é uma das funções mais interessantes dos assistentes modernos.
Ela permite evitar repetir:
- preferências;
- contexto;
- objetivos;
- instruções recorrentes.
Mas memória também significa persistência.
Uma informação não está apenas naquela conversa.
Ela pode continuar influenciando interações futuras.
Por isso, recursos de memória deveriam ser acompanhados de três hábitos:
- saber que estão ativados;
- revisar o que foi armazenado;
- excluir aquilo que deixou de ser necessário.
Quanto mais um assistente se aproxima de uma ferramenta pessoal permanente, mais importante fica conhecer seu estado.
Devemos parar de usar conectores?
Não.
Essa seria a conclusão errada.
Conectores podem economizar muito tempo.
Imagine pedir à IA para:
- localizar determinado documento;
- organizar compromissos;
- procurar uma mensagem antiga;
- comparar informações de arquivos;
- preparar um resumo antes de uma reunião.
Tudo isso pode ter enorme valor.
O objetivo não é eliminar integrações.
É utilizá-las conscientemente.
Um checklist simples antes de conectar uma IA
1. Eu realmente preciso dessa conexão?
Se for apenas curiosidade, talvez não valha manter o acesso depois do teste.
2. Quais informações existem nessa conta?
Uma conta com documentos sensíveis merece cuidado diferente de uma pasta criada apenas para arquivos públicos.
3. Qual permissão está sendo solicitada?
Leia.
Não clique automaticamente.
4. O acesso será permanente?
Se sim, lembre-se de revisá-lo depois.
5. Posso criar um ambiente separado?
Em alguns casos, uma pasta específica ou conta profissional reduz exposição desnecessária.
6. Sei onde remover a integração?
É importante saber sair antes mesmo de entrar.
Revise também a própria qualidade dos dados
Existe outra dimensão.
Quando um assistente consegue consultar muitas fontes ao mesmo tempo, existe a tendência de imaginar:
“Se ele encontrou nos meus arquivos, então está correto.”
Não necessariamente.
Um documento pode estar:
- antigo;
- incompleto;
- duplicado;
- errado;
- desatualizado.
Conectar mais fontes aumenta o acesso.
Não garante a qualidade das informações dentro delas.
Isso significa que governança de dados deixa de ser apenas assunto de empresas.
Até um usuário comum pode se beneficiar de organização básica:
- apagar arquivos desnecessários;
- atualizar versões;
- nomear documentos corretamente;
- separar material atual de arquivo histórico.
Uma IA conectada trabalha melhor quando o ambiente ao redor dela também está organizado. E, mesmo quando encontra informação nos seus próprios arquivos, ainda vale aplicar o método de Como verificar respostas de IA antes de confiar.
Essa questão não é exclusiva do Copilot
A vulnerabilidade discutida neste artigo afetava especificamente o Microsoft Copilot Personal.
Não existe base para afirmar que o mesmo ataque funcionava em outros assistentes.
Mas o princípio de segurança é muito mais amplo.
O mercado inteiro caminha para IAs capazes de acessar ferramentas e informações externas.
Quanto mais um assistente:
- lembra;
- pesquisa;
- conecta;
- consulta;
- executa;
mais ele deixa de ser apenas um chatbot.
Ele começa a funcionar como uma camada de acesso sobre nossa vida digital.
Isso torna o princípio do menor privilégio ainda mais relevante.
O futuro da IA também será uma discussão sobre permissões
Durante anos, aprendemos a perguntar aos aplicativos:
“Por que este app precisa acessar minha câmera?”
“Por que precisa do microfone?”
“Por que precisa da minha localização?”
Agora começaremos a fazer perguntas parecidas para assistentes de inteligência artificial:
Por que ele precisa do meu e-mail?
Precisa de todos os arquivos ou apenas de uma pasta?
Precisa guardar essa informação na memória?
Precisa continuar conectado depois que a tarefa acabou?
Essa é uma evolução natural da segurança digital.
O assistente fica mais poderoso quando recebe contexto
Isso é verdade.
Quanto mais contexto uma IA possui, mais útil pode se tornar.
Mas existe uma segunda frase que precisa andar junto:
quanto mais contexto ela possui, maior é a responsabilidade sobre como esse acesso é protegido.
CoSnitch foi corrigida.
Outra vulnerabilidade aparecerá algum dia em algum produto.
Isso acontece com navegadores, sistemas operacionais, aplicativos, bancos, redes sociais e praticamente qualquer software complexo.
A resposta não é abandonar tecnologia.
É construir hábitos que reduzam o impacto quando alguma camada falha.
Conecte com propósito
A melhor regra talvez seja a mais simples.
Não conecte uma conta a uma IA porque o botão existe.
Conecte quando houver uma tarefa clara.
Conceda somente o acesso necessário.
Use.
Revise.
E remova quando não fizer mais sentido.
É assim que conveniência e segurança conseguem coexistir.
A inteligência artificial está ganhando memória, ferramentas e acesso aos nossos serviços.
Isso pode tornar os assistentes extraordinariamente úteis.
Mas cada nova capacidade também aumenta a importância de uma pergunta que nunca deveria desaparecer:
“Essa ferramenta realmente precisa ter acesso a tudo isso?”
A conexão é a ferramenta.
O critério continua sendo nosso.
O método é o protagonista. A ferramenta é o veículo.
Valiant Tecnologia — promovendo evolução consciente.
