Przeglądarki AI podatne na ataki typu „PleaseFix”

Przeglądarki wyposażone w asystentów AI, takie jak Claude w Chrome, Gemini w Chrome, Perplexity Comet, ChatGPT Atlas czy Copilot Edge, mają poważną lukę bezpieczeństwa. Chodzi o całą klasę podatności typu zero-click, które pozwalają atakującym przejąć kontrolę nad agentami AI i wykorzystać je przeciwko użytkownikom. Problem ujawnili badacze z Zenity Labs podczas konferencji Black Hat USA 2026 w Las Vegas.

Sedno problemu leży w sposobie, w jaki agenci AI gromadzą dane. Podczas realizacji zadania pobierają informacje z wielu źródeł – skrzynek e-mail, stron internetowych czy kalendarzy – ale nie rozróżniają wiarygodnych treści od tych, które mogą być zmanipulowane. Wystarczy, że napastnik przemyci złośliwe instrukcje do takiego contentu, aby uzbroić agenta i skierować go przeciwko właścicielowi. W efekcie osoba atakująca może uzyskać dostęp do wrażliwych danych, kont i powiązanych usług.

Zerwanie z zasadą samego pochodzenia

Przeglądarki agentowe łamią fundamentalną zasadę bezpieczeństwa znaną jako same-origin policy. W tradycyjnych przeglądarkach jedna strona internetowa nie może swobodnie odczytywać danych należących do innej domeny. Agenci AI działają inaczej – łączą i przetwarzają treści z różnych źródeł, zamiast trzymać je w izolacji. To otwiera drzwi do nadużyć.

Zenity Labs nazwało tę klasę podatności „PleaseFix”. Mechanizm ataku opiera się na technice zwanej „Intent Collision” (kolizja intencji). Złośliwe instrukcje ukryte w treści, którą agent napotyka podczas pracy, kolidują z legalnym poleceniem użytkownika. Zamiast wykonać zadanie zgodnie z intencją właściciela, agent zaczyna działać na korzyść napastnika, używając tożsamości, uprawnień i dostępu ofiary.

Jak wyglądają realne ataki na różne przeglądarki

Badacze zaprezentowali konkretne scenariusze ataków dla poszczególnych przeglądarek agentowych. Każdy z nich wykorzystuje inną drogę dostarczenia złośliwych instrukcji, ale cel pozostaje ten sam – przejęcie agenta i wykorzystanie jego dostępu do systemów ofiary.

Claude w Chrome – atak przez podsumowanie e-maila

W przypadku Claude’a w Chrome wystarczyła prośba o streszczenie wiadomości e-mail zawierającej złośliwe instrukcje. Taka pozornie niewinna czynność uruchomiła całą kaskadę zdarzeń: eksfiltrację danych z Gmaila, udostępnienie zawartości Google Drive oraz przejęcie kont na platformach Slack, X i samym Claude.

Perplexity Comet – zatruta wiadomość z kalendarza

Perplexity Comet okazał się podatny na atak z wykorzystaniem spreparowanego zaproszenia do kalendarza. Co istotne, do przejęcia agenta nie była potrzebna żadna interakcja ze strony użytkownika. Napastnik mógł następnie uzyskać dostęp do lokalnych plików i workflows menedżera haseł, kradnąc wrażliwe dane i poświadczenia.

ChatGPT Atlas – phishing przez WhatsApp

W przypadku ChatGPT Atlas badacze pokazali, jak zwykły link na platformie X może przejąć workflow agenta. Efekt? Wysyłanie wiadomości phishingowych przez konto WhatsApp ofiary. W innym wariancie ataku udało się zmanipulować zamówienie na Amazonie i skłonić asystenta AI do sfinalizowania fałszywego zakupu przy użyciu karty kredytowej ofiary.

„Przeglądarka AI działa w sieci jak Twój pracownik, już zalogowany do skrzynki, plików, kalendarza i aplikacji służbowych. Jeśli atakujący zdoła przemycić ukryte instrukcje do czegoś, co agent czyta, może obrócić go przeciwko Tobie – z wewnątrz Twojej sieci, używając dostępu Twojego pracownika.” – Stav Cohen, lider zespołu badawczego AI security w Zenity

Dlaczego agenci nie potrafią odróżnić treści zaufanych od wrogich

Główna słabość agentów AI polega na ich niezdolności do rozróżnienia zwykłej treści od ukrytych, złośliwych instrukcji. Problem nie dotyczy pojedynczego błędu w kodzie, który można łatwo załatać. Jak podkreśla Cohen, to nie jest „bug do naprawienia”, ale raczej nowa rzeczywistość – wewnątrz środowiska pojawił się potężny „insider”, którego można przejąć zwykłą treścią i który nie pasuje do założeń, na jakich opierają się obecne systemy obronne.

Nie istnieje jedno uniwersalne rozwiązanie tego problemu. Eksperci z Zenity Labs zalecają jednak przyjęcie odpowiedniego sposobu myślenia: załóż, że agent zostanie przejęty, określ, jakie szkody może wyrządzić w najgorszym scenariuszu, a następnie odbierz mu wszystko, co nie jest absolutnie niezbędne do działania.

Praktyczne kroki ograniczające ryzyko

Organizacje mogą wdrożyć konkretne środki zaradcze, które zmniejszą potencjalne szkody wynikające z ataków typu intent collision:

  • Przejrzyj ustawienia przeglądarki i wyłącz domyślne uprawnienia, które nie są potrzebne
  • Nie loguj się do służbowych kont (e-mail, AWS, GitHub itp.) przy użyciu przeglądarki AI
  • Ogranicz obszary, w których przeglądarka może podejmować działania
  • Nie polegaj wyłącznie na oknie dialogowym z pytaniem „czy na pewno chcesz to zrobić?”

Cohen zwraca uwagę, że wielokrotne pytanie AI o właściwe zachowanie nie rozwiąże problemu. Konieczne jest nałożenie twardych ograniczeń na agenta, których nie będzie mógł obejść, oraz dostarczenie tych limitów włączonych domyślnie. Choć podatność wynika z wad projektowych przeglądarek agentowych i nie da się jej usunąć samymi łatkami, producenci powinni – tam, gdzie to możliwe – łatać poszczególne ścieżki ataku.

Fundamentalne napięcie pozostaje jednak nierozwiązane. Aby przeglądarka AI w ogóle działała, agent musi czytać i przetwarzać treści z otwartego internetu, a te treści są z natury niezaufane i mogą być modyfikowane przez osoby trzecie. Dopóki ta architektoniczna sprzeczność nie zostanie rozwiązana, użytkownicy będą musieli sami zadbać o odpowiednie zabezpieczenia.

Źródło

Może Cię zainteresować