Zenity scopre falle zero-click in Claude e ChatGPT Atlas

L'hacking zero-click dei browser AI colpisce Claude e ChatGPT Atlas

I ricercatori di sicurezza di Zenity hanno divulgato due tecniche di hacking zero-click per browser AI, in grado di dirottare l'estensione Chrome di Claude di Anthropic e il browser ChatGPT Atlas di OpenAI. A differenza dei tradizionali attacchi di phishing, che richiedono all'utente di cliccare su un link malevolo o aprire un allegato, questi metodi funzionerebbero semplicemente facendo leggere all'agente AI un'email o un post su X appositamente predisposto, senza alcuna interazione da parte dell'utente, se non quella di permettere all'AI di fare ciò per cui è stata progettata: navigare tra i contenuti al tuo posto.

Questa distinzione è importante. L'hacking zero-click dei browser AI sposta la superficie di attacco dall'utente umano all'agente AI stesso. Se a un assistente viene concesso il permesso di leggere la tua casella di posta, riassumere pagine web o compiere azioni all'interno di una sessione del browser, qualsiasi contenuto incontrato diventa un potenziale veicolo per istruzioni nascoste. La ricerca di Zenity, come riportato da SecurityWeek, mostra che sia Claude in Chrome che ChatGPT Atlas erano vulnerabili a questo tipo di manipolazione.

Come funzionano gli attacchi, secondo quanto riferito

Le estensioni per browser AI e i browser agentivi come Atlas sono progettati per leggere, interpretare e agire sui contenuti del web, incluse email, post sui social e testi incorporati nelle pagine. Questa funzionalità è l'intero punto di forza di questi strumenti. Ma significa anche che l'AI non può sempre distinguere tra un'istruzione legittima proveniente dall'utente e un'istruzione nascosta sepolta in una pagina web, nel corpo di un'email o in un post sui social che si trova a elaborare.

Questa classe di vulnerabilità è spesso chiamata prompt injection. Un aggressore crea contenuti che sembrano innocui per un lettore umano, ma contengono testo specificamente progettato per essere interpretato come comando dal modello AI. Quando il browser o l'estensione AI elabora quel contenuto come parte di un'attività di routine (riassumere una conversazione email, controllare un sito web, scorrere una timeline) può essere indotto a eseguire istruzioni che l'utente non ha mai approvato.

Secondo quanto riportato, le scoperte di Zenity vanno oltre due bug isolati. L'azienda sta esaminando un insieme più ampio di debolezze nei browser AI, e il suo lavoro si aggiunge a un crescente corpo di ricerche che mostra come gli strumenti di navigazione agentiva, ancora nuovi sul mercato, siano esaminati per individuare lacune di sicurezza prima che le loro difese siano completamente mature. Questo rispecchia uno schema già visto altrove nella sicurezza del software, dove falle zero-day in piattaforme fidate vengono sfruttate prima che le patch siano pronte, come nei casi in cui hacker russi sponsorizzati dallo stato hanno sfruttato una zero-day di Zimbra per colpire account email legati alla NATO.

Perché questo è importante per la privacy

Gli assistenti browser AI sono commercializzati come strumenti di produttività: leggono le tue email, riassumono le tue schede e possono persino compiere azioni come compilare moduli o navigare su siti al posto tuo. Questo livello di accesso è esattamente ciò che rende l'hacking zero-click dei browser AI così preoccupante dal punto di vista della privacy. Se un aggressore può dirottare il processo decisionale dell'AI attraverso contenuti che essa semplicemente incontra, ottiene potenzialmente un punto d'appoggio in tutto ciò che l'AI ha il permesso di vedere o fare, senza mai aver bisogno che la vittima clicchi su nulla.

Si tratta di un modello di minaccia fondamentalmente diverso dagli attacchi di furto di credenziali o distribuzione di malware a cui la maggior parte delle persone è abituata per difendersi. Non si basa sull'ingannare una persona; si basa sull'ingannare il software che agisce per conto di quella persona. Dinamiche simili si sono verificate in altri contesti in cui un software locale fidato diventa un bersaglio, come quando un legittimo strumento di sicurezza bancaria coreano è stato trasformato in un vettore d'attacco attraverso un exploit zero-day. Il filo conduttore: strumenti progettati per aiutare gli utenti possono essere riutilizzati dagli aggressori quando i loro confini di fiducia non sono ermetici.

Cosa significa questo per te

Se utilizzi estensioni browser AI o strumenti di navigazione agentiva come Claude in Chrome o ChatGPT Atlas, questa divulgazione ti ricorda di riflettere attentamente sui permessi che concedi loro. Questi strumenti sono potenti proprio perché possono leggere e agire automaticamente sui contenuti, ma questa stessa automazione elimina uno strato di giudizio umano che un tempo fungeva da controllo naturale contro la manipolazione.

Per ora, la risposta pratica è la cautela piuttosto che il panico. Limita l'ambito di accesso che concedi agli agenti browser AI, in particolare agli account sensibili come email o piattaforme finanziarie. Mantieni aggiornate queste estensioni e browser, poiché i fornitori di solito rilasciano patch per le vulnerabilità divulgate dopo che i ricercatori le hanno segnalate in modo responsabile. E tieni presente che i contenuti provenienti da mittenti o account sconosciuti, anche se sembrano testo normale, potrebbero essere progettati per gli occhi di un'AI piuttosto che per i tuoi.

Punti chiave

• L'hacking zero-click dei browser AI consente agli aggressori di dirottare agenti AI come Claude in Chrome e ChatGPT Atlas senza alcun clic dell'utente, semplicemente attraverso email o post sui social creati ad arte.
• La tecnica sfrutta il modo in cui gli agenti AI elaborano e agiscono sui contenuti, una classe di vulnerabilità nota come prompt injection.
• Rivedi e limita i permessi che concedi agli assistenti browser AI, in particolare per l'accesso a email e account.
• Mantieni aggiornati gli strumenti browser AI e cerca le patch di sicurezza rilasciate dai fornitori in seguito a questa divulgazione.
• Considera gli agenti AI come un'altra parte della tua superficie di attacco, non solo una comodità, quando valuti la tua postura di privacy personale o organizzativa.