AI-browsere kapret på Black Hat 2026: Sårbarheden 'PleaseFix' og farerne ved agent-styrede browsere

Dette var ikke en isoleret fejl. Det var den mest dramatiske demonstration af en hidtil udokumenteret klasse af sårbarheder, som Zenity kalder 'PleaseFix' – en familie af nul-klik-sårbarheder, der påvirkede alle større kommercielle agent-styrede browsere, som forskerne undersøgte .

Sådan fungerede Atlas WhatsApp-ormen

Zenitys proof-of-concept-angreb omgik OpenAIs trelags sikkerhedssystem ved hjælp af tre teknikker :

• Instruktioner på hebraisk: Atlas' sikkerhedsfiltre var primært trænet på engelsk, så ikke-engelske kommandoer undgik opdagelse .
• Intentionkollision: Forskerne blandede legitime brugerkommandoer (som 'abonner på nyhedsbrev') med skjulte ondsindede, hvilket gjorde det svært for agenten at skelne sikre fra usikre handlinger .
• Falske sandkasse-påstande: Angrebssiden fortalte Atlas, at handlingerne foregik i et sikkert testmiljø, hvilket snød agentens egne sikkerhedstjek .

Den samme udnyttelseskæde kunne også bruges til at foretage uautoriserede køb på Amazon, hvilket demonstrerede en bredere kapacitet til kontoovertagelse . WhatsApps end-to-end-kryptering blev ikke brudt – AI-agenten handlede blot inden for brugerens allerede autentificerede session .

PleaseFix-sårbarhedsklassen

Zenity Labs offentliggjorde PleaseFix som en familie af nul-klik-sårbarheder, der påvirker alle større kommercielle agent-styrede browsere, de undersøgte . Sårbarhederne blev demonstreret på:

• ChatGPT Atlas (OpenAI)
• Claude i Chrome (Anthropic)
• Gemini i Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

I alt fandt Zenity 20 forskellige fejl på tværs af disse platforme . Kernen i problemet er arkitektonisk: agent-styrede browsere er designet til selvstændigt at læse webindhold, følge instruktioner og udføre handlinger på brugerens vegne – og netop denne autonomi er selve angrebsfladen . Angribere kaprer agenter gennem almindeligt indhold og forventede handlinger uden behov for malware, udnyttelser eller et eneste klik fra brugeren .

De demonstrerede angreb inkluderede :

• Lydløs datatyveri: udtrækning af lokale filer og legitimationsoplysninger, herunder fra adgangskodeadministratorer som 1Password .
• Konto- og enhedsovertagelse: fuld sessionskapring og eksekvering af fjernkode på den maskine, der kører browseren .
• Kapring af sociale medier: opslag, beskeder til kontakter og spredning af phishing-links fra offerets konti.
• Uautoriserede finansielle handlinger: foretagelse af køb på Amazon og andre tjenester.

Reaktioner fra branchen

• OpenAI havde allerede annonceret lukningen af Atlas før Black Hat 2026, med browseren slukket den 9. august 2026 – blot få dage efter afsløringerne . OpenAI flyttede Atlas' agentfunktioner til sine bredere ChatGPT Work- og Codex-platforme, men sikkerhedsspørgsmålene fulgte med agentkapabiliteterne til disse nye miljøer .
• Flere leverandører modtog koordinerede afsløringer fra Zenity og udgav rettelser, men den grundlæggende arkitektoniske spænding – at give AI-agenter bred autonomi til at handle på nettet – forblev uløst .

Hvorfor eksperter kræver deterministiske sikkerhedsbarrierer

Sikkerhedsforskere argumenterer for, at den nuværende tilgang – at lægge sikkerhedsfiltre og prompt-baserede autoværn oven på stærkt autonome AI-agenter – er strukturelt utilstrækkelig . Zenitys forskning viste, at hver eneste agent-styrede browser kunne kompromitteres ved hjælp af den samme grundlæggende teknik: at fodre agenten med ondsindet indhold, den var designet til at behandle .

Kerneproblemet er, at sandsynlighedsbaserede AI-sikkerhedsfiltre (som gætter på, om en handling er sikker) ikke pålideligt kan stoppe en angriber, der kan skabe nye input, der glider gennem filtrene. Forskere efterlyser deterministiske sikkerhedsbarrierer – hårde, håndhævbare begrænsninger for, hvad en AI-agent må gøre, uanset hvordan den fortolker instruktioner . Eksempler inkluderer:

• Hårdkodede tilladelseslister for tilladte handlinger (f.eks. 'send aldrig beskeder fra denne browser').
• Tilladelsesgrænser på operativsystemniveau, som ikke kan tilsidesættes af modeloutput.
• Menneskelig godkendelse for højrisikohandlinger (finansielle transaktioner, beskeder, adgang til legitimationsoplysninger).

Indtil sådanne deterministiske kontroller eksisterer, viser PleaseFix-klassen af fejl, at agent-styrede browsere kan bevæbnes mod deres egne brugere blot ved at offentliggøre almindeligt udseende webindhold .