Integração do Claude no Slack Abre Precedente para Ações Não Autorizadas por Automação

O projeto On-Demand, não um produto comercial, mas uma arquitetura de agentes de IA voltada para automação corporativa em tempo real, está sob escrutínio após a descoberta da Tego AI. A vulnerabilidade no Claude Tag não é um bug de interface ou falha pontual: é uma falha estrutural de autorização. O agente responde ao texto literal "@Claude", ignorando se a menção foi feita por um humano, um bot interno ou um webhook externo. Isso transforma qualquer canal do Slack que ingira conteúdo automatizado (feeds RSS, alertas de monitoramento, integrações com SIEMs) em um vetor de execução não autorizada. Na demonstração da Tego AI, um bot simples injetou uma sequência que levou o Claude Tag a ler dados confidenciais, publicá-los no canal e apagar o recurso-fonte, tudo com permissões legítimas concedidas pela empresa.

Isso revela um problema crônico em projetos On-Demand: a confiança implícita na origem da entrada. Diferente de APIs tradicionais, que exigem tokens válidos e headers explícitos, agentes como o Claude Tag tratam mensagens de texto como instruções executáveis, sem validação de identidade, intenção ou contexto operacional. A Anthropic diz que isso não ocorre na configuração padrão, mas a Tego AI mostrou que basta uma única integração mal configurada (como um webhook com acesso a canais onde o Claude Tag está presente) para contornar essa suposição. É menos um erro de código e mais um erro de modelo de segurança: delegar autorização a um classificador de linguagem, em vez de usar controles determinísticos de runtime.

Em março de 2026, a CEVIU já havia alertado que agentes de IA em ferramentas como Slack, Copilot e Claude eram vulneráveis a prompt injection capaz de escapar de sandboxes e exfiltrar dados. Mas aquela cobertura tratava de ataques diretos, com injeção ativa de comandos. Agora, em julho de 2026, a vulnerabilidade do Claude Tag representa uma evolução perigosa: não há injeção. Não há engenharia de prompt sofisticada. Basta que um sistema externo, mesmo legítimo, envie uma string contendo "@Claude" em seu payload. É uma falha de *interpretação de contexto*, não de *proteção contra manipulação*. O risco deixou de ser "alguém tentando me enganar" para "meu próprio fluxo de trabalho me traindo".

Empresas que adotaram o Claude Tag para integrações com GitHub, Jira ou bases internas estão expostas a três ameaças simultâneas: exfiltração acidental de dados sensíveis, publicação indevida de informações em canais errados e exclusão não autorizada de recursos críticos, tudo com credenciais legítimas. Isso não é um vazamento por falha de autenticação; é uma execução autorizada por quem não deveria ter autoridade. Para equipes de segurança, o impacto vai além do Slack: é um teste prático de como políticas de least privilege e autorização em tempo de execução ainda são negligenciadas em arquiteturas de IA agentic. E, pior, não há patch imediato, só reconfiguração operacional e controle de fluxo de entrada.