Ataki zero-click na przeglądarki AI uderzają w Claude i ChatGPT Atlas

Badacze bezpieczeństwa z Zenity ujawnili dwie techniki ataków zero-click na przeglądarki AI, które mogą przejąć rozszerzenie Claude w Chrome od Anthropic oraz przeglądarkę ChatGPT Atlas od OpenAI. W przeciwieństwie do tradycyjnych ataków phishingowych, które wymagają od użytkownika kliknięcia złośliwego linku lub otwarcia załącznika, te metody rzekomo działają po prostu przez to, że agent AI odczyta spreparowaną wiadomość e-mail lub post na X, bez konieczności interakcji użytkownika poza tym, do czego AI zostało zaprojektowane: przeglądania treści w Twoim imieniu.

To rozróżnienie ma znaczenie. Ataki zero-click na przeglądarki AI przesuwają powierzchnię ataku z użytkownika na samego agenta AI. Jeśli asystent ma uprawnienia do odczytywania skrzynki odbiorczej, podsumowywania stron internetowych lub wykonywania działań w sesji przeglądarki, każda napotkana treść staje się potencjalnym nośnikiem ukrytych instrukcji. Badania Zenity, jak donosi SecurityWeek, pokazują, że zarówno Claude w Chrome, jak i ChatGPT Atlas były podatne na tego rodzaju manipulację.

Jak rzekomo działają ataki

Rozszerzenia przeglądarek AI i przeglądarki agentowe, takie jak Atlas, zostały zaprojektowane do odczytywania, interpretowania i podejmowania działań na podstawie treści w sieci, w tym wiadomości e-mail, postów w mediach społecznościowych i osadzonego tekstu na stronach. Ta funkcjonalność jest głównym atutem tych narzędzi. Oznacza to jednak również, że AI nie zawsze potrafi odróżnić legalne polecenie od użytkownika od ukrytego polecenia zaszytego na stronie internetowej, w treści wiadomości e-mail lub poście w mediach społecznościowych, który właśnie przetwarza.

Ta klasa podatności jest często nazywana wstrzykiwaniem promptów (prompt injection). Atakujący tworzy treść, która wygląda na nieszkodliwą dla człowieka, ale zawiera tekst specjalnie zaprojektowany tak, aby model AI zinterpretował go jako polecenie. Gdy przeglądarka AI lub rozszerzenie przetwarza tę treść w ramach rutynowego zadania (podsumowywanie wątku e-mail, sprawdzanie witryny, przeglądanie osi czasu), może zostać oszukane i wykonać instrukcje, których użytkownik nigdy nie zatwierdził.

Według doniesień, odkrycia Zenity wykraczają poza dwa pojedyncze błędy. Firma bada szerszy zestaw słabości w przeglądarkach AI, a jej praca wpisuje się w rosnący zbiór badań pokazujących, że agentowe narzędzia przeglądania, wciąż nowe na rynku, są analizowane pod kątem luk w zabezpieczeniach, zanim ich mechanizmy obronne w pełni dojrzeją. Przypomina to schemat obserwowany w innych obszarach bezpieczeństwa oprogramowania, gdzie luki zero-day w zaufanych platformach są wykorzystywane, zanim poprawki nadążą, jak w przypadkach, gdy rosyjscy hakerzy sponsorowani przez państwo wykorzystali lukę zero-day w Zimbra do atakowania kont e-mail powiązanych z NATO.

Dlaczego ma to znaczenie dla prywatności

Asystenci przeglądarek AI są reklamowani jako narzędzia zwiększające produktywność: czytają Twoje e-maile, podsumowują karty, a nawet mogą wykonywać działania, takie jak wypełnianie formularzy czy nawigowanie po stronach. Ten poziom dostępu sprawia, że ataki zero-click na przeglądarki AI są tak niepokojące z punktu widzenia prywatności. Jeśli atakujący może przejąć proces decyzyjny AI za pomocą treści, którą agent jedynie napotka, potencjalnie uzyskuje przyczółek do wszystkiego, do czego AI ma uprawnienia, bez konieczności klikania czegokolwiek przez ofiarę.

Jest to zasadniczo inny model zagrożenia niż ataki polegające na kradzieży danych uwierzytelniających lub dostarczaniu złośliwego oprogramowania, przed którymi większość ludzi jest przyzwyczajona się bronić. Nie polega on na oszukaniu człowieka; opiera się na oszukaniu oprogramowania działającego w jego imieniu. Podobna dynamika wystąpiła w innych kontekstach, w których zaufane lokalne oprogramowanie staje się celem, na przykład gdy legalne koreańskie narzędzie bezpieczeństwa bankowego zostało przekształcone w wektor ataku za pomocą exploita zero-day. Wspólnym mianownikiem jest to, że narzędzia zaprojektowane, aby pomagać użytkownikom, mogą zostać wykorzystane przez atakujących, gdy ich granice zaufania nie są szczelne.

Co to oznacza dla Ciebie

Jeśli korzystasz z rozszerzeń przeglądarek AI lub agentowych narzędzi przeglądania, takich jak Claude w Chrome czy ChatGPT Atlas, to ujawnienie jest przypomnieniem, aby dokładnie przemyśleć, jakie uprawnienia im przyznajesz. Te narzędzia są potężne właśnie dlatego, że mogą automatycznie odczytywać treści i działać na ich podstawie, ale ta sama automatyzacja usuwa warstwę ludzkiego osądu, która kiedyś stanowiła naturalną ochronę przed manipulacją.

Na razie praktyczną reakcją jest ostrożność, a nie panika. Ogranicz zakres dostępu, jaki dajesz agentom przeglądarek AI, szczególnie do wrażliwych kont, takich jak poczta e-mail czy platformy finansowe. Aktualizuj te rozszerzenia i przeglądarki, ponieważ dostawcy zazwyczaj łatają ujawnione luki, gdy badacze zgłaszają je odpowiedzialnie. I pamiętaj, że treści od nieznanych nadawców lub kont, nawet jeśli wyglądają jak zwykły tekst, mogą być spreparowane dla oczu AI, a nie Twoich.

Kluczowe wnioski

  • Ataki zero-click na przeglądarki AI pozwalają atakującym przejmować agentów AI, takich jak Claude w Chrome i ChatGPT Atlas, bez żadnego kliknięcia użytkownika, po prostu poprzez spreparowane wiadomości e-mail lub posty w mediach społecznościowych.
  • Technika ta wykorzystuje sposób, w jaki agenci AI przetwarzają treści i podejmują działania, czyli klasę podatności znaną jako wstrzykiwanie promptów (prompt injection).
  • Przejrzyj i ogranicz uprawnienia, jakie przyznajesz asystentom przeglądarek AI, szczególnie w zakresie dostępu do poczty e-mail i kont.
  • Aktualizuj narzędzia przeglądarek AI i obserwuj poprawki bezpieczeństwa dostawców po tym ujawnieniu.
  • Traktuj agentów AI jako kolejną część swojej powierzchni ataku, a nie tylko funkcję ułatwiającą, podczas oceny swojej osobistej lub organizacyjnej postawy w zakresie prywatności.