Computer use do Claude saiu do beta — isole o agente antes de liberar cliques

Fora do beta, o computer use do Claude deve ser tratado como um executor não confiável: rode cada sessão em ambiente isolado, forneça somente os acessos necessários, restrinja os destinos de rede e intercepte toda ação antes que ela produza uma consequência real.

A disponibilidade geral estabiliza a integração, mas não torna os cliques seguros por si só. Sua aplicação continua responsável por executar ou recusar cada chamada; por isso, isolamento, privilégios mínimos, credenciais de curta duração, allowlist e aprovação humana precisam ficar fora do modelo.

O que realmente mudou com a saída do beta

O computer use passou à disponibilidade geral na Claude Platform. O anúncio da Anthropic de 20 de agosto de 2026 registra que a versão atual aceita várias ações por turno e que o browser use foi lançado como ferramenta específica para tarefas em páginas web.

A mudança reduz a fricção da API, não o risco operacional. Uma sequência pode reunir clique, digitação e captura de tela na mesma resposta, mas cada ação ainda precisa ser executada pela aplicação do desenvolvedor. Esse ponto de controle permite interromper o lote quando um passo falha, foge do objetivo ou exige uma autorização que o agente não possui.

A injeção indireta de prompt continua relevante: instruções escondidas em páginas, imagens ou documentos podem tentar substituir o objetivo original, obter uma credencial ou induzir o envio de dados. Até conteúdo carregado de um domínio legítimo deve ser considerado não confiável.

Comece por um ambiente isolado e descartável

Crie uma máquina virtual ou um contêiner dedicado para a sessão. Não monte o diretório pessoal de funcionários, não reutilize perfis reais do navegador, não compartilhe a área de transferência do host e não exponha redes internas que não façam parte da tarefa.

A documentação oficial do computer use define o toolset computer_toolset_20260801, sem cabeçalho beta, com 17 ferramentas para operações como captura de tela, clique e digitação. A mesma página recomenda máquina virtual ou contêiner com privilégios mínimos, exclusão de dados sensíveis, allowlist de domínios e consentimento do usuário, e alerta que instruções em páginas ou imagens podem afetar o agente mesmo com a camada de classificação ativa.

• Sistema: use uma conta sem privilégios administrativos, sistema de arquivos temporário e imagem sem chaves permanentes.
• Rede: negue a saída por padrão e permita apenas os hosts necessários, preferencialmente por proxy com registro das decisões.
• Dados: entregue cópias temporárias apenas dos arquivos indispensáveis e remova metadados sem função na tarefa.
• Identidade: emita tokens de curta duração, limitados ao recurso e à operação autorizados.
• Encerramento: destrua o ambiente e revogue as credenciais após a conclusão, falha ou interrupção.

Configure a API com o menor conjunto de capacidades

Inclua o toolset na lista de ferramentas da requisição à Messages API. A resposta pode trazer um ou mais blocos de uso de ferramenta; o seu executor deve processá-los na ordem, devolver um resultado para cada bloco e parar no primeiro erro, sem executar silenciosamente o restante do lote.

Não acrescente Bash, editor de texto ou acesso amplo a arquivos apenas porque essas ferramentas aparecem em exemplos. Se a tarefa exige somente preencher campos em um portal, habilite apenas as capacidades necessárias. Para um fluxo inteiramente web, o browser use pode ser uma opção mais estreita do que controlar um desktop completo, mas ainda requer controles de rede, identidade e consequência.

Aplique limites que não dependam do comportamento do modelo: duração da sessão, número de ações, tentativas por operação, volume de leitura, tamanho de upload e quantidade de destinos. Interrompa o fluxo diante de uma janela inesperada, solicitação de credencial, download executável, domínio não autorizado ou ação fora do objetivo registrado.

Coloque uma política entre a resposta e o clique

O executor não deve converter automaticamente todo pedido do modelo em eventos de mouse e teclado. Antes de agir, compare cada chamada com uma política determinística baseada no destino, no recurso, na operação e no impacto possível.

1. Registre o objetivo autorizado, os domínios, os arquivos e as operações permitidas.
2. Valide individualmente cada ação, inclusive quando várias chegam no mesmo turno.
3. Recuse acesso a destinos fora da allowlist, segredos não previstos e recursos incompatíveis com a tarefa.
4. Pause antes de enviar, publicar, comprar, excluir, aceitar termos, mudar permissões ou confirmar transações.
5. Mostre ao aprovador o destino, os dados envolvidos e a consequência esperada; só então aceite uma confirmação específica.

Não autorize o lote inteiro porque o primeiro passo parece inofensivo. Abrir um formulário pode ser automático; transmitir dados pessoais, assumir um compromisso ou concluir uma operação financeira requer uma nova decisão humana.

Separe o que a Anthropic fornece do que você precisa controlar

A proteção incorporada reduz parte do risco, mas não conhece as regras de autorização da empresa nem executa as chamadas no seu lugar. O quadro abaixo separa as duas responsabilidades:

• Anthropic — formato das ferramentas: define as ações disponíveis no toolset e os blocos pelos quais o modelo as solicita.
• Anthropic — defesa do modelo: mantém uma camada de classificação, sem apresentá-la como substituta das precauções externas.
• Desenvolvedor — ambiente: executa as chamadas em infraestrutura isolada e impede acesso a sistemas ou dados fora do escopo.
• Desenvolvedor — autorização: aplica privilégios mínimos, credenciais efêmeras, allowlist, limites de sessão e validação por ação.
• Desenvolvedor — consequência: exige aprovação humana para operações irreversíveis, financeiras, jurídicas ou ligadas a consentimento.
• Desenvolvedor — auditoria: registra decisões e resultados sem transformar os logs em um repositório de segredos.

O Top 10 da OWASP para aplicações agênticas sustenta essa arquitetura ao recomendar entradas tratadas como não confiáveis, menor privilégio para ferramentas, aprovação humana em ações de alto impacto e credenciais temporárias vinculadas à tarefa.

Registre decisões sem registrar novos segredos

Associe a cada sessão um identificador, o objetivo autorizado, a versão da política, os destinos visitados, as ferramentas solicitadas, a decisão do executor e as aprovações humanas. Quando houver um lote, registre o resultado de cada ação separadamente para demonstrar onde a execução parou.

Remova senhas, tokens, valores sensíveis de formulários e capturas desnecessárias antes de persistir os registros. Defina retenção curta e acesso restrito. Antes de ampliar a autonomia, valide com identidades de teste se a aplicação bloqueia destinos proibidos, revoga credenciais, destrói o ambiente e mantém suspensa uma ação de consequência real até receber aprovação explícita.

Leia também:

• Kit MCP pode alterar sua lista: como limitar permissões antes de conectar a IA
• “Ações do Claude” ainda não existem — e ofertas antecipadas podem valer zero