דפדפני AI נפרצו ב-Black Hat 2026: פרצות ה-PleaseFix שמאפשרות השתלטות בלי קליק

זו לא הייתה באג בודד. זו הייתה ההדגמה הדרמטית ביותר של מחלקת פרצות שלא תועדה קודם לכן, ש-Zenity מכנה "PleaseFix" – משפחה של פרצות zero-click שפגעו בכל דפדפן סוכן מסחרי מרכזי שהחוקרים בחנו .

איך עבדה תולעת הוואטסאפ של Atlas

מתקפת ההוכחה של Zenity עקפה את מערכת האבטחה התלת-שכבתית של OpenAI באמצעות שלוש טכניקות :

• הוראות בעברית: מסנני הבטיחות של Atlas אומנו בעיקר על אנגלית, כך שפקודות בשפות אחרות חמקו מזיהוי .
• התנגשות כוונות (Intent Collision): החוקרים ערבבו פקודות משתמש לגיטימיות (כמו "הירשם לניוזלטר") עם הוראות זדוניות נסתרות, מה שהקשה על הסוכן להבחין בין פעולות בטוחות למסוכנות .
• טענות שווא על סביבת ארגז חול (Sandbox): דף המתקפה סיפר ל-Atlas שהפעולות מתרחשות בסביבת בדיקה בטוחה, ובכך הטעה את בדיקות הבטיחות העצמיות של הסוכן .

אותה שרשרת ניצול יכלה לשמש גם לביצוע רכישות לא מורשות באמזון, מה שמדגים יכולת רחבה יותר של השתלטות על חשבון . ההצפנה מקצה לקצה של וואטסאפ לא נפרצה – סוכן ה-AI פשוט פעל בתוך הסשן המאומת של המשתמש .

מחלקת הפרצות PleaseFix

Zenity Labs חשפה את PleaseFix כמשפחה של פרצות zero-click הפוגעות בכל דפדפן סוכן מסחרי מרכזי שהם בחנו . הפרצות הודגמו על:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (גוגל)
• Perplexity Comet (Perplexity)
• Copilot Edge (מיקרוסופט)

בסך הכל, Zenity מצאה 20 פרצות מובחנות על פני פלטפורמות אלה . הליבה של הבעיה היא ארכיטקטונית: דפדפני סוכן מתוכננים לקרוא תוכן אינטרנט באופן אוטונומי, לעקוב אחר הוראות ולבצע פעולות בשם המשתמש – והאוטונומיה הזו היא בעצמה משטח התקיפה . תוקפים חוטפים סוכנים דרך תוכן רגיל ופעולות צפויות, ללא צורך בתוכנה זדונית, ניצול פרצות או לחיצה של המשתמש .

תוצאות ההתקפה שהודגמו כללו :

• גניבת נתונים שקטה: הוצאת קבצים מקומיים ופרטי התחברות, כולל ממנהלי סיסמאות כמו 1Password .
• השתלטות על חשבון ומכשיר: חטיפת סשן מלאה וביצוע קוד מרחוק על המחשב המריץ את הדפדפן .
• חטיפת חשבונות חברתיים: פרסום, שליחת הודעות לאנשי קשר והפצת קישורי פישינג מחשבונות הקורבן.
• ביצוע פעולות פיננסיות לא מורשות: רכישות באמזון ובשירותים אחרים.

תגובות בתעשייה

• OpenAI כבר הודיעה על הפסקת השימוש ב-Atlas לפני Black Hat 2026, כשהדפדפן נסגר ב-9 באוגוסט 2026 – ימים ספורים לאחר החשיפות . OpenAI העבירה את יכולות הסוכן של Atlas לפלטפורמות הרחבות יותר ChatGPT Work ו-Codex, אם כי שאלות אבטחה עקבו אחר יכולות הסוכן לסביבות החדשות האלה .
• ספקים רבים קיבלו חשיפות מתואמות מ-Zenity ושחררו תיקונים, אך המתח הארכיטקטוני הבסיסי – הענקת אוטונומיה רחבה לסוכני AI לפעול באינטרנט – נותר בלתי פתור .

מדוע מומחים קוראים למחסומי אבטחה דטרמיניסטיים

חוקרי אבטחה טוענים שהגישה הנוכחית – הוספת שכבות של מסנני בטיחות ומעקות הגנה ברמת ההנחיה (prompt) על גבי סוכני AI אוטונומיים ביותר – אינה מספקת מבחינה מבנית . המחקר של Zenity הראה שכל דפדפן סוכן יכול להיפגע באמצעות אותה טכניקה בסיסית: הזנת תוכן זדוני שהסוכן תוכנן לעבד .

הבעיה המרכזית היא שמסנני בטיחות פרובלביליסטיים (המנחשים האם פעולה בטוחה) אינם יכולים לעצור באופן אמין תוקף שיכול ליצור קלטים חדשים שחומקים מהמסננים. החוקרים קוראים למחסומי אבטחה דטרמיניסטיים – אילוצים קשיחים הניתנים לאכיפה על מה שסוכן AI רשאי לעשות, ללא תלות באופן שבו הוא מפרש הוראות . דוגמאות כוללות:

• רשימות היתר מקודדות של פעולות מותרות (למשל, "לעולם אל תשלח הודעות מהדפדפן הזה").
• גבולות הרשאות ברמת מערכת ההפעלה שלא ניתן לעקוף על ידי פלט המודל.
• שערי אישור אנושיים (Human-in-the-loop) לפעולות בסיכון גבוה (עסקאות פיננסיות, שליחת הודעות, גישה לפרטי התחברות).

עד שיהיו בקרות דטרמיניסטיות כאלה, מחלקת הפרצות PleaseFix מראה שניתן לנשק דפדפני סוכן נגד המשתמשים שלהם עצמם, פשוט על ידי פרסום תוכן אינטרנט רגיל למראה .