Zero-Click AI-browserhacken treft Claude en ChatGPT Atlas
Beveiligingsonderzoekers van Zenity hebben twee zero-click AI-browserhacktechnieken onthuld die in staat zijn om Anthropic's Claude in Chrome-extensie en OpenAI's ChatGPT Atlas-browser over te nemen. In tegenstelling tot traditionele phishingaanvallen waarbij een gebruiker op een kwaadaardige link moet klikken of een bijlage moet openen, werken deze methoden naar verluidt gewoon door de AI-agent een opgestelde e-mail of een X-bericht te laten lezen, zonder dat er gebruikersinteractie nodig is behalve dat de AI doet waarvoor hij is ontworpen: inhoud voor jou bekijken.
Dat onderscheid is belangrijk. Zero-click AI-browserhacken verplaatst het aanvalsoppervlak van de menselijke gebruiker naar de AI-agent zelf. Als een assistent toestemming heeft gekregen om je inbox te lezen, webpagina's samen te vatten of acties uit te voeren in een browsersessie, wordt elke inhoud die hij tegenkomt een potentieel afleveringsmechanisme voor verborgen instructies. Zenity's onderzoek, zoals gerapporteerd door SecurityWeek, toont aan dat zowel Claude in Chrome als ChatGPT Atlas kwetsbaar waren voor dit soort manipulatie.
Hoe de aanvallen naar verluidt werken
AI-browserextensies en agentgedreven browsers zoals Atlas zijn ontworpen om inhoud op het web te lezen, interpreteren en erop te reageren, inclusief e-mails, sociale berichten en ingesloten paginatekst. Die functionaliteit is het hele verkoopargument van deze tools. Maar het betekent ook dat de AI niet altijd het onderscheid kan maken tussen een legitieme instructie van zijn gebruiker en een verborgen instructie die verborgen zit in een webpagina, e-mailbericht of socialmediapost die hij toevallig verwerkt.
Deze kwetsbaarheidsklasse wordt vaak prompt injection genoemd. Een aanvaller maakt inhoud die er voor een menselijke lezer onschuldig uitziet, maar tekst bevat die specifiek is ontworpen om door het AI-model als een opdracht te worden geïnterpreteerd. Wanneer de AI-browser of -extensie die inhoud verwerkt als onderdeel van een routinetaak (het samenvatten van een e-mailgesprek, het controleren van een website, het doorbladeren van een tijdlijn), kan deze worden misleid om instructies uit te voeren die de gebruiker nooit heeft goedgekeurd.
Volgens de berichtgeving reiken Zenity's bevindingen verder dan slechts twee geïsoleerde bugs. Het bedrijf heeft een bredere reeks zwakke plekken in AI-browsers onderzocht en het werk draagt bij aan een groeiende hoeveelheid onderzoek die aantoont dat agentgedreven browsertools, die nog nieuw op de markt zijn, worden onderzocht op beveiligingstekortkomingen voordat hun verdedigingsmechanismen volledig zijn uitgerijpt. Dit weerspiegelt een patroon dat elders in softwarebeveiliging te zien is, waar zero-day-kwetsbaarheden in vertrouwde platforms worden uitgebuit voordat patches beschikbaar komen, zoals te zien in gevallen zoals Russische door de staat gesponsorde hackers die een Zimbra zero-day misbruiken om e-mailaccounts van NAVO-gelieerde organisaties aan te vallen.
Waarom dit belangrijk is voor privacy
AI-browserassistenten worden op de markt gebracht als productiviteitstools: ze lezen je e-mail, vatten je tabbladen samen en kunnen zelfs acties ondernemen zoals formulieren invullen of voor jou door sites navigeren. Dat niveau van toegang is precies wat zero-click AI-browserhacken vanuit privacyoogpunt zo zorgwekkend maakt. Als een aanvaller het besluitvormingsproces van de AI kan kapen via inhoud die hij gewoon tegenkomt, krijgen ze mogelijk een voet aan de grond in alles wat de AI mag zien of doen, zonder dat het slachtoffer ooit ergens op hoeft te klikken.
Dit is een fundamenteel ander dreigingsmodel dan de diefstal van inloggegevens of malware-aanvallen waartegen de meeste mensen gewend zijn zich te beschermen. Het is niet gebaseerd op het misleiden van een persoon; het is gebaseerd op het misleiden van de software die namens die persoon handelt. Vergelijkbare dynamieken hebben zich voorgedaan in andere contexten waar vertrouwde lokale software een doelwit wordt, zoals toen een legitieme Koreaanse bankbeveiligingstool werd veranderd in een aanvalsvector via een zero-day-exploit. De rode draad: tools die zijn ontworpen om gebruikers te helpen, kunnen door aanvallers worden misbruikt wanneer hun vertrouwensgrenzen niet waterdicht zijn.
Wat dit voor u betekent
Als u AI-browserextensies of agentgedreven browsertools zoals Claude in Chrome of ChatGPT Atlas gebruikt, is deze onthulling een herinnering om goed na te denken over welke machtigingen u ze verleent. Deze tools zijn juist krachtig omdat ze automatisch inhoud kunnen lezen en erop kunnen reageren, maar diezelfde automatisering verwijdert een laag van menselijk oordeel die voorheen diende als een natuurlijke controle tegen manipulatie.
Voor nu is de praktische reactie eerder voorzichtigheid dan paniek. Beperk de reikwijdte van de toegang die u AI-browseragents geeft, met name tot gevoelige accounts zoals e-mail of financiële platforms. Houd deze extensies en browsers up-to-date, aangezien leveranciers doorgaans patches uitbrengen voor onthulde kwetsbaarheden zodra onderzoekers deze op verantwoorde wijze melden. En wees u ervan bewust dat inhoud van onbekende afzenders of accounts, zelfs als het eruitziet als gewone tekst, kan zijn gemaakt voor de ogen van een AI in plaats van de uwe.
Belangrijkste punten
- Zero-click AI-browserhacken stelt aanvallers in staat AI-agents zoals Claude in Chrome en ChatGPT Atlas over te nemen zonder enige klik van de gebruiker, eenvoudigweg via opgestelde e-mails of sociale berichten.
- De techniek maakt misbruik van hoe AI-agents inhoud verwerken en erop reageren, een kwetsbaarheidsklasse die bekend staat als prompt injection.
- Controleer en beperk welke machtigingen u AI-browserassistenten verleent, met name rond e-mail- en accounttoegang.
- Houd AI-browsertools up-to-date en let op beveiligingspatches van leveranciers na deze onthulling.
- Behandel AI-agents als een ander onderdeel van uw aanvalsoppervlak, niet alleen als een gemaksfunctie, bij het beoordelen van uw persoonlijke of organisatorische privacysituatie.
