Veszélyes új biztonsági probléma fenyegeti az AI-t használó böngészőket.
Izraeli kutatók szerint a frissen felfedezett „PleaseFix” sérülékenységek veszélybe sodorhatják a Google, a Microsoft, az OpenAI, az Anthropic és a Perplexity mesterséges intelligenciával működő böngészőit, lehetővé téve fiókok feltörését, sőt akár a felhasználók számítógépének távoli irányítását is.
Milyen sebeshetőségét tárták fel a mesterséges intelligenciának?
Újfajta kiberbiztonsági kockázatokat teremt a nagy technológiai vállalatok versenyfutása azért, hogy egyre önállóbb mesterségesintelligencia-ügynököket építsenek be webböngészőkbe – állítják izraeli kutatók. Szerintük ugyanaz a technológia, amelynek célja az online feladatok egyszerűbbé tétele, a támadók számára példátlan hozzáférést biztosíthat a felhasználók adataihoz és eszközeihez.
Az izraeli kiberbiztonsági vállalat, a Zenity Labs kutatói csütörtökön, a Las Vegasban megrendezett Black Hat USA 2026 kiberbiztonsági konferencián ismertették eredményeiket. Egy korábban nem dokumentált sérülékenységcsaládot mutattak be, amelyet „PleaseFix” névre kereszteltek.
A kutatók szerint a hibák úgynevezett nulla kattintásos támadásokat is lehetővé tesznek. Ez azt jelenti, hogy a támadónak még arra sincs szüksége, hogy rávegye az áldozatot egy rosszindulatú link megnyitására vagy bármilyen más művelet végrehajtására: a felhasználó által használt AI-ügynökök bizonyos esetekben önállóan is manipulálhatók.
A Zenity szerint a sérülékenységek több vezető platformba integrált, mesterséges intelligenciával működő böngészőügynököt is érintenek, köztük az Anthropic Claude-ját a Google Chrome-ban, a Google Geminit a Chrome-ban, a Perplexity Comet böngészőjét, az OpenAI Atlas böngészőjét és a Microsoft Copilotját az Edge-ben.
A vállalat olyan támadási forgatókönyveket is bemutatott, amelyekben a támadók hitelesítési adatokat és érzékeny információkat lophattak el, átvehették az online fiókok feletti irányítást, sőt akár távolról is irányíthatták az áldozatok számítógépét.
Amikor az AI átlépi a böngészők biztonsági határait
A hagyományos böngészőkkel ellentétben az AI-ügynököket arra tervezték, hogy egyszerre több weboldalon is feladatokat hajtsanak végre. A kutatók szerint éppen ez a webhelyek közötti önálló működés teremti meg annak lehetőségét, hogy a támadók manipulálják az ügynököt, és rávegyék olyan műveletek végrehajtására, amelyekhez egyébként nem lenne jogosultsága – méghozzá a felhasználó saját engedélyeit kihasználva.
„A böngészőt úgy tervezték, hogy ha egy weboldalon elolvasok egy hozzászólást, annak tartalma semmilyen módon ne tudja rávenni a böngészőt arra, hogy egy másik megnyitott lapon műveletet hajtson végre a bankszámlámon” – magyarázta a Ynetnek Michael Bargury, a Zenity társalapítója és technológiai igazgatója.
„Az ügynökalapú böngészők gyakorlatilag megkerülik ezt a védelmet. Egy AI-böngésző elolvashat valamit az egyik weboldalon, majd arra a következtetésre juthat, hogy egy másik oldalon végre kell hajtania egy műveletet.
Ilyenkor egyedül az AI saját döntési képessége áll közte és a művelet között, mi pedig újra és újra bizonyítottuk, hogy ezeket a védelmi mechanizmusokat meg lehet kerülni.”
Nem csak a böngészők jelentenek problémát
Az AI-ügynökök működésével kapcsolatban az elmúlt időszakban több más biztonsági probléma is felszínre került. Az egyik legfontosabb az úgynevezett indirekt prompt injection, amikor egy weboldal, dokumentum, e-mail vagy más külső tartalom rejtett utasításokat tartalmaz, amelyek megpróbálják eltéríteni az ügynök eredeti célját.
A Google kutatói már valós weboldalakon is találtak ilyen kísérleteket, köztük adatlopásra vagy akár a felhasználó gépén végrehajtandó károkozásra irányuló utasításokat. Emellett egyre nagyobb figyelmet kap a túlzott jogosultságok problémája: ha egy ügynök hozzáférhet e-mailekhez, fájlokhoz, böngészőmunkamenetekhez, pénzügyi szolgáltatásokhoz, egyetlen manipuláció sokkal súlyosabb következményekkel járhat, mint egy hagyományos chatbot esetében.
A szakértők ezért egyre inkább a jogosultságok szigorú korlátozását, a kritikus műveletek emberi jóváhagyását és a műveletek folyamatos ellenőrzését sürgetik.
További új támadási felületet jelent az AI-ügynökök memóriája. A hosszú távú memóriával rendelkező rendszerek képesek korábbi beszélgetésekből, fájlokból és tapasztalatokból származó információkat későbbi feladatok során felhasználni, ám ha egy támadó rosszindulatú adatot tud elhelyezni ebben a memóriában, az a későbbi munkamenetekben is befolyásolhatja az ügynök viselkedését. Friss kutatások szerint az úgynevezett memória-mérgezés tartós támadási lehetőséget teremthet, miközben a több ügynököt összekapcsoló rendszerekben egyetlen kompromittált ügynök akár más rendszerekre is továbbterjesztheti a problémát.
Az OpenAI és az Anthropic rendszereit érintő friss vizsgálatok, valamint más vállalatok hasonló tesztjei azt mutatják, hogy az ügynökök egyre nagyobb önállósága mellett a hagyományos biztonsági modellek már nem feltétlenül elegendők.
