Agentes no navegador: o que mudou com MCP e Chrome em 2026

Entre junho e outubro de 2026, os agentes de IA que clicam, digitam e preenchem formulários saíram do navegador experimental e passaram a operar o Chrome de uso diário, com as contas já logadas. O Google ligou o agente Gemini Spark ao Chrome, a OpenAI aposentou o Atlas e levou o agente para uma extensão, e o servidor oficial do Chrome para agentes passou de 3,2 milhões de downloads semanais. O risco central segue sendo a instrução escondida em página, e a defesa que se sustenta combina perfil separado, permissão por site e confirmação humana antes de qualquer ação que deixe marca.

Por Alexandre Caramaschi, Chief Strategy Officer da Nuvini (Nasdaq: NVNI), Founder da Brasil GEO, cofundador da NAIA e cofundador da AI Brasil, ex-CMO da Semantix (Nasdaq) · Outubro 2026

Atualizado em 30 de outubro de 2026.

Um gerente de marketing que pede ao assistente para conferir campanhas no painel de anúncios entrega, sem perceber, a mesma sessão que permite mudar orçamento e exportar a base de clientes. Em 2026 esse pedido ficou trivial, porque os grandes fornecedores puseram o agente dentro do navegador que a pessoa já usa. O curso MCP com Chrome: automação com IA em 16 capítulos parte dessa cena para ensinar a delegar tarefas de navegador sem entregar a sessão inteira, e este texto reúne o que mudou de agosto a outubro, os riscos documentados e as práticas de governança que já dá para adotar. Para quem trabalha com GEO (Generative Engine Optimization), a otimização de marcas para mecanismos de IA, o tema tem um segundo lado: o agente que opera o navegador também lê o seu site.

3,28 milhõesde downloads do pacote chrome-devtools-mcp na semana de 22 a 28/10/2026npm, 30/10/2026
4 de 7navegadores agênticos estudados abriam caminho para contornar a política de mesma origemUniversidade de Washington, 30/06/2026
160países a mais com acesso ao Gemini Spark para assinantes do AI Pro, no dia em que o agente ganhou o ChromeGoogle, 30/07/2026

Quais tendências marcaram o período?

30/06/2026Estudo mostra a política de mesma origem enfraquecida
Pesquisadores da Universidade de Washington testaram sete navegadores com agente e encontraram, em quatro deles, condições para que uma página maliciosa alcançasse dados de outro site. No ChatGPT Atlas, a prova de conceito funcionou.
09/07/2026OpenAI anuncia o fim do Atlas
O navegador próprio parou de funcionar em 09/08/2026. Os recursos de agente foram para o ChatGPT e o Codex, com navegador embutido no aplicativo de desktop e uma extensão para o Chrome.
28/07/2026Sai a especificação 2026-07-28 do MCP
A revisão torna o protocolo sem estado, o que permite que qualquer instância do servidor atenda qualquer chamada, e marca recursos antigos para descontinuação.
30/07/2026Gemini Spark passa a usar o Chrome com contas logadas
Com permissão do usuário, o agente do Google navega com as contas abertas e as senhas salvas no Chrome de desktop. A liberação começou pelos Estados Unidos, com pausa para o usuário em ações sensíveis como pagamento.
05/08/2026Zenity mostra ataque sem clique na Black Hat
Na pesquisa batizada de PleaseFix, a equipe desviou o agente com instruções escondidas em conteúdo comum, sem nenhum clique da vítima, contra Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas e Copilot no Edge. Os efeitos iam de roubo de dados a tomada de conta, a partir de algo tão banal quanto um e-mail.
18/08/2026Gemini in Chrome chega a todo o Android nos EUA
A navegação automática, que executa tarefas como reservar estacionamento ou atualizar um pedido recorrente, ficou restrita aos assinantes do AI Pro e do Ultra, com confirmação explícita em compras.
22/10/2026Nova versão do chrome-devtools-mcp recarrega listas de URLs
A versão 1.12.0 permite atualizar, sem reiniciar o servidor, as listas de endereços permitidos e bloqueados que limitam onde o navegador controlado pelo agente pode abrir páginas.

Por que o agente trocou o navegador próprio pelo Chrome que você já usa?

A primeira tendência do período é a consolidação dentro do navegador existente. O Atlas, lançado pela OpenAI em outubro de 2025, durou menos de um ano: a empresa anunciou a aposentadoria em 09/07/2026 e distribuiu as funções entre o aplicativo de desktop, um navegador na nuvem e uma extensão para o Chrome. A documentação atual dessa extensão descreve o uso em sites onde a pessoa já está conectada, como LinkedIn e Gmail, e oferece quatro escolhas a cada site: permitir uma vez, permitir naquele site, permitir em todos os sites ou recusar. A penúltima vem marcada como risco elevado.

O Google seguiu o mesmo desenho. Desde 30/07/2026, o agente Gemini Spark usa o Chrome de desktop com as contas logadas e as senhas salvas, mediante permissão, por enquanto nos Estados Unidos. A Anthropic mantém o Claude in Chrome como extensão do navegador do usuário. No Brasil, o Gemini no Chrome foi anunciado em 10/06/2026 com painel lateral para resumir páginas e comparar abas, e as ações de agente do Spark ainda não tinham liberação anunciada para o país até o fim de outubro.

Tudo gira em torno da sessão. Uma extensão alcança o painel interno, a conta de anúncios ou o documento compartilhado sem conector de API (a porta oficial por onde um sistema conversa com outro) e sem novo login. Essa conveniência amplia o alcance de um erro, porque a mesma sessão que lê o relatório também aprova a fatura.

Por que o MCP virou a porta de entrada para equipes técnicas?

O MCP (Model Context Protocol) é o protocolo aberto que padroniza como um assistente de IA descobre e chama ferramentas externas. Para quem desenvolve, testa sites ou audita marketing, o caminho mais usado para pôr um agente no navegador passa por dois servidores MCP. O chrome-devtools-mcp, mantido pela equipe do Chrome, dá ao agente as ferramentas de desenvolvedor do próprio Chrome, o painel que programadores abrem para inspecionar uma página: rede, console, rastreamento de desempenho e auditoria Lighthouse. Ele registrou 3.281.478 downloads no npm entre 22 e 28/10/2026 e somava 54.482 estrelas no GitHub em 30/10/2026. O Playwright MCP, da Microsoft, foca navegação e interação repetíveis e teve 8.508.652 downloads na mesma semana.

Dois movimentos técnicos ajudam a governança. A especificação do MCP publicada em 28/07/2026 tirou o estado da camada de protocolo, o que facilita rodar servidores atrás de balanceadores e registrar cada chamada. A versão 1.12.0 do chrome-devtools-mcp, de 22/10/2026, passou a recarregar em tempo real as opções allowedUrlPattern e blockedUrlPattern, que restringem os endereços que o navegador controlado pode abrir. A documentação do projeto avisa que um agente capaz de editar o arquivo de configuração consegue alterar essas proteções, então o arquivo precisa ficar fora do alcance de escrita do agente.

Qual é o risco quando o agente opera a sessão logada?

O risco que domina a literatura é a injeção indireta de instruções: um texto plantado numa página, num e-mail ou num comentário que o agente lê e passa a tratar como ordem. Simon Willison resumiu em junho de 2025 a combinação que torna o vazamento possível, chamada de trinca letal: acesso a dado privado, exposição a conteúdo de terceiros e um canal de saída. O agente de navegador com sessão logada reúne as três condições por padrão.

Os dados de 2026 apontam na mesma direção. A Unit 42, da Palo Alto Networks, catalogou em março de 2026 um conjunto de 22 técnicas usadas em páginas reais para esconder instruções a agentes, com texto visível em 37,8% dos casos, atributos HTML em 19,8% e CSS que oculta o trecho em 16,9%. O estudo da Universidade de Washington concluiu que, nesses navegadores, a política de mesma origem (a regra que impede um site de ler os dados de outro) fica tão forte quanto a defesa do agente contra injeção. Na Black Hat de agosto, a Zenity mostrou que conteúdo comum basta para desviar os principais navegadores agênticos, e relatou que parte dos fornecedores corrigiu a falha enquanto outra parte tratou o comportamento como previsto.

Os fornecedores publicam números de defesa, sempre medidos internamente. A Anthropic informa que a configuração atual do Claude in Chrome reduz a taxa de sucesso de ataques a menos de 0,08% nos testes próprios, em página consultada em outubro de 2026, e afirma que a chance de ataque continua acima de zero. O Google descreve, para o Chrome, um modelo crítico separado que confere se cada ação serve ao objetivo do usuário, além de pedir confirmação em login, compra e envio de mensagem. Esses números valem para o ambiente e a metodologia de quem testou. Multiplicar a taxa pelo volume de tarefas da empresa para prever incidentes é um erro de leitura, e o curso dedica um capítulo a essa distinção.

Como os caminhos se comparam?

A pergunta que decide a escolha é o estado da sessão: o agente trabalha no navegador com os seus logins ou num navegador que nasce vazio a cada execução? A tabela resume o que cada fornecedor documenta.

Caminho	Sessão usada	Controle documentado	Uso indicado
Claude in Chrome	Chrome do usuário, já logado	Listas de sites permitidos e bloqueados para administradores de Team e Enterprise; aprovação manual de cada ação	Pesquisa e preenchimento em sites confiáveis
Extensão do ChatGPT	Perfil, cookies e abas do usuário	Permissão por uso, por site ou geral; listas por domínio	Tarefas que dependem da conta já aberta
Gemini Spark com navegação automática	Contas logadas e senhas salvas, com permissão	Pausa em ações sensíveis, como pagamento	Tarefas do dia a dia, por ora nos EUA
chrome-devtools-mcp	Perfil isolado ou navegador existente, conforme a configuração	Listas de URLs permitidas e bloqueadas	Depuração, rede, desempenho e auditoria
Playwright MCP	Contexto isolado, perfil persistente ou sessão conectada	Estado inicial definido pela equipe	Testes repetíveis de formulário e fluxo

O que a governança prática pede hoje?

A tese do curso cabe numa frase: a capacidade do agente só cresce depois que a contenção correspondente existe. Em dezembro de 2025, o Gartner recomendou que as áreas de segurança bloqueassem navegadores com IA até que houvesse versões corporativas maduras. Dez meses depois, várias peças dessa maturidade apareceram (listas de sites, aprovação manual, confirmação em compra), e a empresa que libera o uso precisa escrever as regras antes da primeira tarefa.

Perfil separado para o agente. Um perfil do Chrome sem banco, saúde, e-mail pessoal ou console de nuvem, com apenas as contas que a tarefa exige.
Linha entre ler e agir. Leitura de página, console e rede pode rodar sem pedido; clique, digitação, envio e download passam por aprovação, porque deixam marca depois que a chamada termina.
Lista de sites permitidos no lugar da permissão geral. A opção de permitir todos os sites, nos produtos que a oferecem, fica desligada por política.
Corte do canal de saída. Em automações técnicas, a lista de URLs permitidas impede que o agente abra um endereço com dado colado no parâmetro.
Credenciais fora do repositório. Arquivos de estado de sessão carregam cookies que dão acesso à conta e merecem o mesmo cuidado de uma senha.
Inventário dos servidores MCP. Origem do código, versão fixada, descrição das ferramentas e permissões revistas a cada atualização.
Roteiro de operação escrito. Quem autoriza, o que fica registrado, o que fazer quando o agente sai do roteiro e como outra pessoa assume a rotina.

Essas regras conversam com a discussão sobre o modelo operacional agêntico no software, em que a pergunta central é quem responde por cada permissão. Para a organização inteira, o tema reaparece no debate sobre o sistema operacional nativo de IA nas empresas.

O que muda para o site da sua empresa?

O agente que opera o Chrome lê o site pela árvore de acessibilidade e pelo DOM renderizado, a página depois que o JavaScript roda. Botão sem rótulo, formulário sem nome de campo e preço que só aparece após interação atrapalham o agente da mesma forma que atrapalham o leitor de tela. A hipótese de trabalho, ainda sem medição pública, é que sites legíveis por agente terão tarefas concluídas com menos erro quando o cliente delegar a compra ou a cotação. A legibilidade já se audita com as mesmas ferramentas de MCP descritas acima.

Para GEO, isso soma uma camada de execução às camadas de citação e de entidade. O artigo sobre as três camadas da visibilidade agêntica detalha essa divisão, e o texto sobre autoridade temática e SEO de entidades em 2026 trata da camada em que o modelo decide quem citar. No varejo de nicho, a mesma lógica aparece no guia de SEO e GEO para revendedoras de joias e semijoias, em que catálogo e checkout precisam funcionar para quem pergunta e para quem compra por intermédio de um agente.

Para aprofundar: o curso

O curso gratuito MCP com Chrome, com trilha executiva e runbook de governança organiza o tema em 16 capítulos e quatro etapas: escolher o acesso e preparar o ambiente; ler, conectar e autorizar ações; testar limites e avaliar ferramentas; medir resultados e organizar a operação. Ele começa pelo mapa de risco do agente, compara Claude in Chrome, chrome-devtools-mcp e Playwright MCP pelo estado da sessão, monta um laboratório descartável com perfil separado e passa pela fronteira de permissões, pelo teste controlado de injeção indireta, pela contenção por arquitetura e pela cadeia de suprimentos de servidores MCP.

Há três trilhas por perfil. A trilha Para decidir, com oito capítulos, foi desenhada para conselho e diretoria e dispensa terminal: termina na decisão sobre quais acessos autorizar, quais evidências exigir e quem responde pela operação. Quem vai operar segue a trilha Para implementar, do laboratório à automação que pode ser repetida sem duplicar registros no CRM. Marketing e agências encontram na trilha Para auditar o HTML bruto contra o DOM, a legibilidade por agente, o desempenho rotulado e a prova de conversão no destino. O último capítulo entrega o runbook, o roteiro de operação que outra pessoa consegue seguir.

O que fazer nesta semana?

Liste quem já usa agente no navegador. Extensões do ChatGPT, Claude in Chrome e Gemini podem estar instaladas por iniciativa individual, em perfis que também guardam contas da empresa.
Classifique três tarefas candidatas em reversível, cara de desfazer ou irreversível, e libere ao agente primeiro as reversíveis, num perfil separado.
Desligue a permissão geral. Em cada produto, troque a opção de permitir todos os sites por uma lista curta de domínios aprovados.
Rode uma auditoria de legibilidade nas páginas de produto e de contato com o chrome-devtools-mcp e anote botões sem rótulo e campos sem nome.

Perguntas frequentes

As dúvidas abaixo são as que mais aparecem quando a empresa discute liberar um agente no navegador, da situação de cada produto ao primeiro passo de governança.

O ChatGPT Atlas ainda funciona?

Não. A OpenAI anunciou a aposentadoria em 09/07/2026 e o Atlas parou de funcionar em 09/08/2026. Os recursos de agente passaram para o ChatGPT e o Codex, com navegador embutido no aplicativo de desktop e uma extensão para Chrome, Edge, Brave, Opera e Vivaldi.

Qual a diferença entre uma extensão de agente e o chrome-devtools-mcp?

A extensão trabalha dentro do Chrome que a pessoa usa, com os logins abertos. O chrome-devtools-mcp é um servidor MCP que controla uma instância do Chrome pelo protocolo de depuração, com perfil isolado ou conexão a um navegador existente, conforme a configuração, e entrega ferramentas de rede, console e desempenho.

A injeção de prompt já foi resolvida pelos fornecedores?

Não. A Anthropic informava em outubro de 2026 taxa de sucesso de ataques abaixo de 0,08% nos testes internos do Claude in Chrome e afirma que o risco continua acima de zero. Estudos independentes de 2026, como os da Universidade de Washington e da Zenity, mostraram ataques que funcionaram em vários navegadores agênticos.

O agente do Gemini já opera o Chrome no Brasil?

O Gemini no Chrome foi anunciado no Brasil em 10/06/2026, com painel lateral para resumir páginas e comparar abas. A navegação automática do Gemini Spark com contas logadas começou pelos Estados Unidos, e o Google não havia anunciado data para o Brasil até o fim de outubro de 2026.

Por onde uma empresa deve começar a governar esses agentes?

Por um inventário de quem usa, um perfil de navegador separado para o agente, a separação entre ler e agir e uma lista de sites permitidos. O curso MCP com Chrome tem uma trilha executiva de oito capítulos que termina nessas decisões.