Jeden běžný odkaz, ovládnutý prohlížeč a spam pro celý WhatsApp

Nešlo přitom o chybu v samotném WhatsAppu. Šifrování zpráv zůstalo nedotčené; problém spočíval v tom, jak AI prohlížeč zpracovává obsah a následně provádí akce jménem uživatele .

Jak mohl Atlas rozeslat zprávu všem kontaktům

Předvedený řetězec útoku vypadal podle výzkumníků následovně :

1. Zenity zveřejnila na síti X, dříve Twitteru, odkaz na přihlášení k odběru newsletteru. Stránka vypadala pro běžného návštěvníka neškodně.
2. Do jejího obsahu byly ukryty škodlivé instrukce napsané hebrejsky. Volba jazyka nebyla náhodná: bezpečnostní klasifikátory OpenAI jsou podle výzkumníků výrazně lépe připravené na angličtinu, zatímco hlavní model dokázal hebrejské pokyny pochopit .
3. Když uživatel Atlas požádal o přihlášení k odběru, agent zpracoval nejen legitimní požadavek, ale také skryté instrukce. Na pozadí otevřel WhatsApp Web a poslal stejnou zprávu každému kontaktu v účtu .

Pokud by některý z příjemců používal Atlas a s odkazem dále pracoval, mohl se řetězec opakovat. Výzkumníci tak popsali chování připomínající samovolně se šířícího červa.

Atlas podle demonstrace dokázal také přidat doručovací adresu do přihlášeného účtu Amazonu, vložit zboží do košíku a nechat nákup dokončit nákupního asistenta Rufus. To vše bez vědomí a souhlasu uživatele .

PleaseFix není jediná chyba, ale celá třída problémů

Případ Atlasu byl nejvýraznější ukázkou širší skupiny zranitelností, kterou Zenity označuje jako PleaseFix. Výzkumníci popsali přibližně 20 chyb napříč pěti hlavními agentickými prohlížeči :

Agentické prohlížeče se od běžných prohlížečů liší tím, že webové stránky, e-maily, dokumenty nebo pozvánky v kalendáři nejen zobrazují. Dokážou jejich obsah interpretovat jako instrukce a samostatně provádět úkoly v přihlášených službách. Právě zde vzniká problém: útočník může pokyny vložit do obsahu, který agent během běžné práce očekává. Není nutný malware ani klasické zneužití softwarové chyby a v některých scénářích ani kliknutí uživatele .

Zenity tento mechanismus označuje jako „kolizi záměrů“ (intent collision). Agent nedokáže spolehlivě oddělit skutečný záměr uživatele od instrukcí ukrytých v obsahu, který právě čte. Cizí požadavek pak může vyhodnotit jako součást legitimního úkolu .

Techniky, které výzkumníci předvedli

• Instrukce v jiném jazyce: Hebrejština, nestandardní znaky Unicode nebo jiné neanglické texty mohou obejít bezpečnostní klasifikátor, přestože hlavní jazykový model příkaz pochopí .
• Kolize záměrů: Škodlivý obsah je vytvořen tak, aby agentovi připadal jako běžná součást uživatelova požadavku .
• Obelstění sandboxu: Agent sice zůstává v omezeném prostředí, ale jeho legitimní oprávnění — například přístup k panelům, cookies nebo přihlášeným relacím — se mohou stát samotnou útočnou plochou .

Co všechno mohlo být ohroženo

Podle zveřejněných výsledků mohou řetězce PleaseFix vést k několika typům dopadů:

• Lokální soubory a zařízení: Zenity popsala scénáře tichého odcizení dat i vzdáleného ovládání počítače .
• Správci hesel: Některé řetězce cílily na trezory včetně 1Password a mohly umožnit krádež přihlašovacích údajů v rámci již ověřené relace .
• Neautorizované nákupy: Agent mohl využít přihlášený účet, přidat adresu, vložit zboží do košíku a pokračovat k dokončení objednávky .
• Převzetí účtů a kontrola zařízení: Celé útokové řetězce podle Zenity ukázaly cesty k převzetí účtů a vzdálenému ovládání zařízení .

První část výzkumu byla zveřejněna už v březnu 2026. Tehdy Zenity popsala, jak může speciálně připravená pozvánka v Google Kalendáři zneužít Perplexity Comet. Po zpracování pozvánky mohl agent zpřístupnit lokální soubory a pokusit se získat přihlašovací údaje z 1Password — bez jediného kliknutí uživatele .

Proč nepomohly ani nejsilnější ochrany Atlasu

Ze všech testovaných prohlížečů měl Atlas podle Zenity nejvíce bezpečnostních vrstev: AI klasifikátor, omezený sandbox a potvrzovací dialogy pro citlivé akce . Výzkumníci přesto popsali způsob, jak obejít všechny tři:

1. Bezpečnostní klasifikátor: Hebrejské instrukce měly projít kontrolou, protože šlo o jazyk s menším zastoupením v trénovacích datech klasifikátoru. Hlavní model jim však stále rozuměl .
2. Sandbox: Díky kolizi záměrů agent považoval přihlášení k newsletteru za legitimní úkol. Následné operace v WhatsAppu a na Amazonu proto mohly působit jako povolené pokračování práce .
3. Potvrzení uživatele: U citlivých kroků se potvrzovací dialog nemusel zobrazit, protože agent akci vyhodnotil jako rutinní. V některých automatizovaných pracovních postupech navíc mohlo být potvrzení přijato bez vědomého zásahu uživatele .

Reakce firem a konec Atlasu

OpenAI oznámila už 9. července 2026, tedy ještě před konferencí Black Hat, že Atlas přestane fungovat 9. srpna 2026 — čtyři dny po představení výzkumu . Samostatný prohlížeč má být nahrazen agentickými funkcemi v desktopové aplikaci ChatGPT, integraci s Chrome, ChatGPT Work a Codex .

Podle nápovědy OpenAI po 9. srpnu Atlas již nemusí otevírat stránky, procházet web ani podporovat prohlížečové funkce a nebude dostávat další bezpečnostní aktualizace . Společnost zároveň uvedla, že pro konkrétní problémy předvedené výzkumníky nasadila opravy .

Na koordinovaném zveřejnění spolupracovala i další dotčená odvětví. Perplexity vydala opravy pro zranitelnosti Cometu ještě před veřejným odhalením v březnu 2026 . Zenity následně na Black Hatu představila širší výsledky po práci s jednotlivými společnostmi v rámci odpovědného zveřejňování .

Proč podle výzkumníků nestačí další AI filtr

Hlavní závěr Zenity je poměrně přímočarý: bezpečnostní problém založený na přesně vymezených oprávněních nelze spolehlivě vyřešit pouze dalším pravděpodobnostním AI modelem . Klasifikátor je totiž sám modelem, a může proto podlehnout změně jazyka, prompt injection nebo jinému adversariálnímu vstupu .

Výzkumníci místo toho požadují deterministické bezpečnostní bariéry — pevná pravidla na úrovni operačního systému nebo architektury prohlížeče, která agent nemůže obejít pouhou manipulací s instrukcemi . Navrhují například:

• Pevná potvrzení oprávnění pro odesílání zpráv, platby a přístup k souborům, která agent nemůže automaticky odkliknout.
• Hardwarově vynucenou izolaci mezi procesy agenta a uživatelskými přihlašovacími údaji.
• Potvrzení mimo daný kanál, například biometrikou nebo hardwarovým klíčem, při změně účtu, odeslání zprávy či zahájení finanční transakce.

Michael Bargury, technologický ředitel Zenity, shrnul postoj týmu větou: „Deterministický bezpečnostní problém nelze vyřešit pravděpodobnostním AI klasifikátorem.“

Nejde jen o opravu jednoho prohlížeče

PleaseFix podle zveřejněných zjištění není běžná chyba, kterou stačí jednou opravit. Jde o důsledek samotného způsobu, jakým agentické prohlížeče spojují uživatelské požadavky s nedůvěryhodným obsahem a následně používají přihlášené služby .

To, že zranitelný byl i Atlas s největším počtem ochranných vrstev, ukazuje limity bezpečnosti postavené pouze na AI. Dokud budou agenti moci číst cizí instrukce a zároveň samostatně posílat zprávy, nakupovat, otevírat soubory nebo pracovat s přihlášenými účty, budou podle Zenity zapotřebí pevné bariéry na úrovni prohlížeče a operačního systému — nikoli jen další model, který se pokusí odhadnout, zda je daný příkaz škodlivý .