PoC captura conversas de IA via extensão de navegador e exfiltra segredos corporativos

O LLMReaper não é um ataque isolado, mas o ponto mais recente de uma escalada técnica que já vinha sendo mapeada desde 2025: extensões de navegador capturando dados de IA em tempo real sem permissões extras. Diferente de ataques baseados em injeção de prompt (como o ChatGPhish ou o exploit no ChatGPT que executa comandos de páginas web), o LLMReaper opera no nível do DOM, lê o que está visível na tela, inclusive respostas renderizadas, usando MutationObserver, uma API padrão e silenciosa. Isso o torna invisível para soluções que monitoram tráfego de rede ou interceptam APIs. O backend FastAPI não só recebe os dados, mas os processa com regex avançado e padrões estruturais para extrair chaves AWS, tokens JWT, strings de conexão de PostgreSQL/MySQL e até números de CPF e cartão de crédito, algo que vai além do que o FROST (side-channel via OPFS) ou o LLMShare (malvertising via compartilhamento de conversas) conseguem fazer.

Essa abordagem passiva já foi antecipada: em julho de 2025, a LayerX demonstrou o 'Man-in-the-Prompt', que também usava extensões para ler e injetar em campos de entrada de LLMs. Mas o LLMReaper é mais agressivo: ele não apenas lê, exfiltra e processa, e faz isso em três plataformas principais (ChatGPT, Claude, Gemini) simultaneamente, com suporte nativo a Manifest V3, o que o torna compatível com o ecossistema atual do Chrome após a remoção das permissões amplas do Manifest V2. A Microsoft Defender já detectou campanhas reais com esse perfil em março de 2026, com 900 mil instalações em ambientes corporativos, provando que o PoC virou ameaça operacional.

A cobertura CEVIU anterior mostrava riscos pontuais: o ChatGPhish explorava falhas de renderização de Markdown; o LLMShare abusava do recurso de compartilhamento; o FROST era um side-channel genérico. O LLMReaper une todos esses vetores em um único fluxo: captação direta do DOM + exfiltração via service worker + extração automatizada de segredos + alvo múltiplo (não só ChatGPT, mas Gemini e Claude). É a primeira PoC pública que demonstra essa cadeia completa em tempo real, com código aberto e documentação técnica detalhada, o que baixa drasticamente a barreira para replicação por outros atores. Também é a primeira a mapear explicitamente o risco às técnicas MITRE T1056.003, T1041 e T1555.003, integrando a ameaça ao quadro tático usado por equipes de resposta.

Empresas estão treinando agentes de IA com dados sensíveis, mas ainda tratam o navegador como um ambiente confiável, e não é. O LLMReaper prova que qualquer conversa feita em uma ferramenta de IA no navegador pode ser capturada por uma extensão maliciosa instalada há meses, mesmo que nunca tenha sido usada ativamente. Não é preciso enganar o usuário com phishing nem explorar uma CVE: basta uma permissão 'ler e alterar dados em sites', concedida rotineiramente a extensões legítimas como tradutores ou gerenciadores de senhas. Em ambientes corporativos, isso significa que um único clique em 'Adicionar ao Chrome' pode expor credenciais de produção, chaves de API de nuvem e dados PII antes mesmo de o time de segurança perceber. A consequência imediata não é só vazamento: é a possibilidade de pivô para ataques internos, como o descrito no caso do agente de IA que acessou bancos de dados em 4 etapas.