AI prohlížeče uneseny na Black Hat 2026: Vysvětlení zero-click chyb PleaseFix

Nešlo o ojedinělou chybu. Byla to nejdramatičtější ukázka dříve nezdokumentované třídy zranitelností, kterou Zenity nazývá „PleaseFix“ – rodina zero-click chyb, které postihly všechny hlavní komerční agentní prohlížeče, které výzkumníci testovali .

Jak fungoval WhatsApp červ v Atlasu

Při svém důkazu konceptu obešli výzkumníci tříúrovňový bezpečnostní systém OpenAI pomocí tří technik :

• Instrukce v hebrejštině: Bezpečnostní filtry Atlasu byly primárně trénovány na angličtině, takže neanglické příkazy unikly detekci .
• Kolize záměrů: Výzkumníci smíchali legitimní uživatelské příkazy (např. „odebírat newsletter“) s ukrytými škodlivými, což agentovi ztížilo rozlišení bezpečných a nebezpečných akcí .
• Falešné sandboxové prostředí: Útočná stránka agentovi tvrdila, že se akce odehrávají v bezpečném testovacím prostředí, čímž oklamala jeho vlastní bezpečnostní kontroly .

Stejný řetězec zneužití bylo možné použít také k neautorizovaným nákupům na Amazonu, což demonstrovalo širší možnost převzetí účtu . Šifrování end-to-end u WhatsAppu nebylo prolomeno – AI agent jednoduše jednal v rámci již autentizovaného uživatelského sezení .

Třída zranitelností PleaseFix

Zenity Labs zveřejnila PleaseFix jako rodinu zero-click zranitelností postihujících všechny hlavní komerční agentní prohlížeče, které testovali . Chyby byly demonstrovány na:

• ChatGPT Atlas (OpenAI)
• Claude v Chromu (Anthropic)
• Gemini v Chromu (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Celkem Zenity našla 20 různých chyb napříč těmito platformami . Hlavní problém je architektonický: agentní prohlížeče jsou navrženy tak, aby autonomně četly webový obsah, řídily se instrukcemi a prováděly akce jménem uživatele – a právě tato autonomie je útočným povrchem . Útočníci unášejí agenty prostřednictvím běžného obsahu a očekávaných akcí, bez potřeby malwaru, exploitů nebo kliknutí uživatele .

Demonstrované dopady útoků zahrnovaly :

• Tichou krádež dat: exfiltraci lokálních souborů a přihlašovacích údajů, včetně údajů ze správců hesel jako 1Password .
• Převzetí účtu a zařízení: úplné unesení sezení a vzdálené spouštění kódu na počítači, kde prohlížeč běžel .
• Únos sociálních účtů: přidávání příspěvků, zasílání zpráv kontaktům a šíření phishingových odkazů z účtu oběti.
• Neautorizované finanční akce: provádění nákupů na Amazonu a dalších službách.

Reakce průmyslu

• OpenAI oznámilo ukončení podpory Atlasu ještě před Black Hat 2026, přičemž prohlížeč byl vypnut 9. srpna 2026 – jen několik dní po odhaleních . OpenAI přesunula agentní funkce Atlasu na své širší platformy ChatGPT Work a Codex, ačkoli bezpečnostní otázky následovaly schopnosti agentů i do těchto nových prostředí .
• Mnoho dodavatelů obdrželo koordinovaná oznámení od Zenity a vydalo záplaty, ale základní architektonické napětí – udělování AI agentům široké autonomie jednat na webu – zůstalo nevyřešeno .

Proč odborníci volají po deterministických bezpečnostních bariérách

Bezpečnostní výzkumníci tvrdí, že současný přístup – vrstvení bezpečnostních filtrů a zábradlí na úrovni promptů na vysoce autonomní AI agenty – je strukturálně nedostatečný . Výzkum Zenity ukázal, že každý agentní prohlížeč mohl být kompromitován stejnou základní technikou: krmením agenta škodlivým obsahem, který byl navržen zpracovávat .

Hlavní problém je v tom, že pravděpodobnostní AI bezpečnostní filtry (které hádají, zda je akce bezpečná) nemohou spolehlivě zastavit útočníka, který dokáže vytvořit nové vstupy, jež těmto filtrům uniknou. Výzkumníci volají po deterministických bezpečnostních bariérách – pevných, vynutitelných omezeních toho, co AI agent smí dělat, bez ohledu na to, jak interpretuje instrukce . Příklady zahrnují:

• Pevně dané seznamy povolených akcí (např. „nikdy neodesílat zprávy z tohoto prohlížeče“).
• Hranice oprávnění na úrovni operačního systému, které nelze přepsat výstupem modelu.
• Brány s lidským dohledem pro vysoce rizikové akce (finanční transakce, zasílání zpráv, přístup k přihlašovacím údajům).

Dokud takové deterministické kontroly nebudou existovat, třída chyb PleaseFix ukazuje, že agentní prohlížeče mohou být použity jako zbraně proti vlastním uživatelům pouhým zveřejněním obyčejně vypadajícího webového obsahu .