Novos ataques via CSS quebram defesas de webmail e sequestram assistentes de IA como Claude Cowork e OpenAI Atlas

A pesquisa parte de uma premissa simples: provedores de webmail como Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail e AOL Mail permitem HTML e CSS razoavelmente ricos dentro do corpo dos emails para preservar formatacao, e sanitizam esse conteudo para impedir que ele escape do quadro da mensagem e interfira na interface do webmail em si. Heyes mostrou que existem discrepancias entre o que os sanitizadores de cada provedor bloqueiam e o que os navegadores efetivamente renderizam, e que essas brechas permitem que CSS dentro de um email vaze visualmente para fora dos limites da mensagem, sobreponha elementos legitimos da interface ou capture eventos de teclado e clique.

Os exemplos documentados variam em tecnica e alvo: no Outlook combinado com Firefox, CSS foi usado para falsificar uma tela de login da Microsoft e capturar senhas digitadas pela vitima; no Yahoo e AOL Mail, uma tecnica de paste race expos tokens de login durante o processo de colagem; no Fastmail, cliques do usuario foram redirecionados para acoes de interface nao pretendidas. O ponto de maior impacto, porem, envolve assistentes de IA integrados ao email. No Gmail, um atacante provoca o envio de um email de confirmacao contendo um token do Slack; quando a vitima pede ao assistente Claude Cowork para processar seus emails, instrucoes injetadas dentro da mensagem levam o assistente a recuperar esse token e coloca-lo em um rascunho em HTML, e a simples visualizacao do rascunho pelo usuario basta para vazar o token, usando a funcao image-set() do Gmail para contornar a sanitizacao e solicitar recursos externos.

No Fastmail integrado ao OpenAI Atlas, a tecnica se apoia em pseudo-elementos CSS e ajustes de opacidade para esconder do olho humano instrucoes de injecao de prompt que continuam visiveis e processaveis pelo modelo de IA, ou seja, a vitima ve apenas um texto inofensivo enquanto o assistente le e obedece um comando malicioso embutido no mesmo email. Esse padrao caracteriza injecao de prompt indireta com um vetor de ofuscacao inedito: em vez de esconder instrucoes em texto invisivel simples, o ataque usa recursos legitimos de renderizacao CSS para criar uma divergencia deliberada entre o que humanos e modelos de linguagem percebem no mesmo conteudo.

Na data de publicacao, 6 de agosto de 2026, as vulnerabilidades em Outlook e Gmail ainda funcionavam, enquanto Fastmail havia corrigido dois bugs de mutacao CSS e a Proton Mail teve um bypass de proxy que deixou de funcionar em reteste. Nenhum CVE foi atribuido, mas a pesquisa disponibilizou publicamente um repositorio de provas de conceito. O caso reforca que, a medida que assistentes de IA ganham permissao para ler e agir sobre caixas de entrada, o email deixa de ser apenas um vetor de phishing tradicional e passa a ser tambem uma superficie de injecao de prompt indireta, exigindo que provedores tratem a interacao entre conteudo de terceiros e agentes de IA com o mesmo rigor de isolamento que hoje aplicam ao proprio HTML renderizado.