AI-selaimet kaapattiin Black Hat 2026 -tapahtumassa: PleaseFix-nollaklikkaushaavoittuvuuksien uhka paljastui

Tämä ei ollut yksittäinen bugi. Se oli dramaattisin osoitus aiemmin dokumentoimattomasta haavoittuvuusluokasta, jota Zenity kutsuu "PleaseFixiksi" – nollaklikkaushaavoittuvuuksien perhe, joka vaikutti kaikkiin kaupallisiin tekoälyselaimiin, joita tutkijat tarkastelivat .

Miten Atlas-WhatsApp-mato toimi

Zenityn Proof-of-Concept-hyökkäys ohitti OpenAI:n kolmiportaisen turvajärjestelmän kolmella tekniikalla :

• Hepreankieliset ohjeet: Atlaksen turvasuodattimet oli koulutettu pääasiassa englanniksi, joten ei-englanninkieliset komennot välttivät havaitsemisen .
• Tarkoitusten yhteentörmäys: Tutkijat yhdistivät laillisia käyttäjäkomentoja (kuten "tilaa uutiskirje") piilotettuihin haitallisiin, mikä vaikeutti agentin kykyä erottaa turvalliset toimet vaarallisista .
• Väärennetty hiekkalaatikkoväite: Hyökkäyssivu kertoi Atlasille, että toimet tapahtuivat turvallisessa testiympäristössä, huijaten agentin omia turvallisuustarkistuksia .

Samaa hyökkäysketjua voitiin käyttää myös luvattomien Amazon-ostosten tekemiseen, mikä osoitti laajemman tilienkaappauskyvyn . WhatsAppin päästä päähän -salausta ei murrettu – tekoälyagentti toimi yksinkertaisesti käyttäjän autentikoidussa istunnossa .

PleaseFix-haavoittuvuusperhe

Zenity Labs paljasti PleaseFixin ennalta dokumentoimattomana nollaklikkaushaavoittuvuuksien perheenä, joka vaikutti kaikkiin kaupallisiin tekoälyselaimiin, joita he tarkastelivat . Haavoittuvuudet osoitettiin seuraavissa:

• ChatGPT Atlas (OpenAI)
• Claude Chromessa (Anthropic)
• Gemini Chromessa (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Yhteensä Zenity löysi 20 erillistä haavoittuvuutta näiltä alustoilta . Ydinongelma on arkkitehtoninen: tekoälyselaimet on suunniteltu lukemaan verkkosisältöä itsenäisesti, noudattamaan ohjeita ja suorittamaan toimia käyttäjän puolesta – ja tämä itsenäisyys on itsessään hyökkäyspinta . Hyökkääjät kaappaavat agentit tavallisen sisällön ja odotettujen toimien kautta ilman haittaohjelmia, ilman hyväksikäyttöjä ja ilman käyttäjän klikkausta .

Todistetut hyökkäystulokset sisälsivät :

• Äänetön tietovarkaus: paikallisten tiedostojen ja tunnistetietojen, mukaan lukien salasanojen hallintaohjelmista kuten 1Password, vieminen .
• Tilin ja laitteen kaappaus: täysi istuntokaappaus ja etäkoodin suoritus selainta käyttävässä koneessa .
• Some-tilien kaappaus: viestien lähettäminen, yhteyshenkilöiden viestintä ja tietojenkalastelulinkkien levittäminen uhrin tileiltä.
• Luvattomat taloudelliset toimet: ostosten tekeminen Amazonissa ja muissa palveluissa.

Toimialan vastaukset

• OpenAI oli jo ilmoittanut Atlaksen lopettamisesta ennen Black Hat 2026 -tapahtumaa, ja selain suljettiin 9. elokuuta 2026 – vain muutama päivä paljastusten jälkeen . OpenAI siirsi Atlaksen agenttiominaisuudet laajempiin ChatGPT Work- ja Codex-alustoihinsa, vaikka turvallisuuskysymykset seurasivat agenttiominaisuuksia näihin uusiin ympäristöihin .
• Useat toimittajat saivat koordinoidut ilmoitukset Zenityltä ja julkaisivat korjauksia, mutta perustavanlaatuinen arkkitehtoninen jännite – tekoälyagenttien laajan itsenäisyyden myöntäminen verkossa toimimiseen – jäi ratkaisematta .

Miksi asiantuntijat vaativat deterministisiä turvallisuusesteitä

Tietoturvatutkijat väittävät, että nykyinen lähestymistapa – turvasuodattimien ja kehotetason suojakaiteiden lisääminen erittäin itsenäisten tekoälyagenttien päälle – on rakenteellisesti riittämätön . Zenityn tutkimus osoitti, että jokainen tekoälyselain voitiin vaarantaa käyttämällä samaa perustekniikkaa: syöttämällä agentille haitallista sisältöä, jota se on suunniteltu käsittelemään .

Ydinongelma on, että todennäköisyyksiin perustuvat tekoälyn turvasuodattimet (jotka arvaavat, onko toimi turvallinen) eivät voi luotettavasti pysäyttää hyökkääjää, joka voi luoda uusia syötteitä, jotka livahtavat suodattimien ohi. Tutkijat vaativat deterministisiä turvallisuusesteitä – kovia, täytäntöönpanokelpoisia rajoituksia sille, mitä tekoälyagentti saa tehdä, riippumatta siitä, miten se tulkitsee ohjeita . Esimerkkejä:

• Kovakoodatut sallittujen toimien listat (esim. "älä koskaan lähetä viestejä tästä selaimesta").
• Käyttöjärjestelmätason käyttöoikeusrajoitukset, joita mallin tuotos ei voi ohittaa.
• Ihmisen vahvistusportit suuririskisille toimille (rahoitustapahtumat, viestintä, tunnistetietojen käyttö).

Kunnes tällaiset deterministiset hallintakeinot ovat olemassa, PleaseFix-luokan haavoittuvuudet osoittavat, että tekoälyselaimet voidaan aseistaa omia käyttäjiään vastaan yksinkertaisesti julkaisemalla tavallisen näköistä verkkosisältöä .