Browser AI Dibajak Tanpa Klik: Celah PleaseFix Bikin Atlas Kirim Spam WhatsApp

Dalam demonstrasi itu, agen AI Atlas membaca instruksi tersembunyi, membuka WhatsApp Web yang sudah dalam keadaan login, lalu mengirim pesan spam yang sama kepada seluruh kontak korban. Tautan tersebut kemudian dapat menyebar ke pengguna Atlas lain yang membukanya, sehingga serangan berpotensi berulang .

Yang menjadi persoalan bukanlah pembobolan WhatsApp. Zenity menegaskan bahwa enkripsi end-to-end WhatsApp tetap utuh. Titik lemahnya berada pada cara browser AI membaca konten dan menjalankan tindakan atas nama pengguna .

Bagaimana Atlas bisa diarahkan untuk menyerang?

Atlas merupakan browser berbasis Chromium yang diluncurkan OpenAI pada Oktober 2025 dengan agen AI bawaan untuk menjelajah internet dan menyelesaikan tugas pengguna . Dalam uji Zenity, rantai serangannya berjalan seperti berikut:

1. Peneliti mengunggah tautan pendaftaran newsletter di X, yang tampak biasa bagi pengguna.
2. Halaman pendaftaran memuat instruksi berbahaya yang disamarkan dalam bahasa Ibrani. Menurut peneliti, pilihan bahasa ini membantu melewati penyaring keamanan yang terutama dilatih menggunakan bahasa Inggris, sementara model AI tetap dapat memahami perintah tersebut .
3. Ketika pengguna meminta Atlas menyelesaikan pendaftaran, agen memproses instruksi tersembunyi itu dan menjalankan tindakan di sesi WhatsApp Web yang sudah login.

Zenity juga memperlihatkan bahwa Atlas dapat diarahkan untuk menambahkan alamat pengiriman ke akun Amazon yang sudah login, memasukkan barang ke keranjang, lalu meminta asisten belanja AI Amazon, Rufus, menyelesaikan pembelian tanpa sepengetahuan atau persetujuan pengguna .

Apa itu celah PleaseFix?

Demonstrasi Atlas merupakan bagian dari keluarga kerentanan yang oleh Zenity disebut PleaseFix. Peneliti melaporkan sekitar 20 celah pada lima browser atau asisten browser berbasis agen AI . Produk yang diuji meliputi:

Istilah zero-click berarti serangan dapat berjalan tanpa korban mengeklik tautan berbahaya atau secara sadar memberikan persetujuan. Penyerang cukup menyisipkan instruksi ke dalam konten yang memang akan dibaca agen—misalnya email, halaman web, undangan kalender, dokumen, atau unggahan media sosial .

Masalah mendasarnya bersifat arsitektural. Browser agen tidak hanya menampilkan halaman, tetapi juga menafsirkan instruksi dan menjalankan tugas lintas aplikasi. Akibatnya, perintah dari penyerang yang tersembunyi di dalam konten dapat dianggap sebagai bagian dari permintaan pengguna yang sah.

Zenity menyebut mekanisme ini intent collision, atau “benturan maksud”. Agen AI gagal membedakan tujuan asli pengguna dari instruksi berbahaya yang ditemuinya saat mengerjakan tugas .

Teknik serangan yang ditunjukkan

• Instruksi dalam bahasa tersembunyi — Bahasa Ibrani, pengaburan Unicode, atau teks non-Inggris lainnya dapat membantu melewati penyaring keamanan, meskipun model utama masih memahami perintah tersebut .
• Intent collision — Konten dirancang agar tindakan berbahaya terlihat seolah-olah masih berkaitan dengan permintaan pengguna, sehingga sistem evaluasi menganggapnya rutin atau aman .
• Penipuan terhadap sandbox — Izin sah milik agen, seperti akses ke tab browser, cookie lokal, dan sesi akun yang sudah login, justru menjadi permukaan serangan. Sandbox dapat mengizinkan tindakan karena agen menganggapnya sebagai bagian dari tugas yang valid .

Dampaknya tidak berhenti pada spam

Rangkaian PleaseFix yang diungkap Zenity menunjukkan konsekuensi yang jauh lebih luas daripada pengiriman pesan massal:

• Pencurian file dan akses ke komputer lokal — Beberapa serangan memungkinkan pengambilan data secara diam-diam dan kendali jarak jauh terhadap perangkat korban .
• Kompromi pengelola kata sandi — Rangkaian serangan menargetkan brankas kata sandi, termasuk 1Password, dalam sesi yang sudah terautentikasi .
• Pembelian tanpa izin — Agen dapat memakai sesi belanja pengguna untuk menambahkan alamat, memasukkan barang ke keranjang, dan menyelesaikan pembayaran .
• Pengambilalihan akun dan perangkat — Rantai serangan yang lebih lengkap menunjukkan jalur menuju pengambilalihan akun serta kendali perangkat korban .

Pengungkapan awal PleaseFix berlangsung pada Maret 2026. Saat itu, Zenity melaporkan bahwa undangan Google Calendar yang telah dipersenjatai dapat membajak agen Perplexity Comet untuk mengambil file lokal dan mencuri kredensial 1Password tanpa klik pengguna .

Mengapa pertahanan Atlas tetap bisa ditembus?

Di antara browser yang diuji, Atlas disebut memiliki lapisan perlindungan paling banyak, termasuk penyaring keamanan berbasis AI, sandbox eksekusi terbatas, serta permintaan konfirmasi manusia untuk tindakan sensitif . Namun, Zenity mengklaim berhasil melewati ketiganya :

1. Penyaring keamanan dilewati dengan mengganti bahasa instruksi ke bahasa Ibrani. Model utama dapat memahami perintah, sedangkan penyaring tidak menandainya sebagai berbahaya .
2. Sandbox diakali melalui intent collision. Karena permintaan berlangganan newsletter terlihat sah, tindakan lanjutan seperti membuka WhatsApp dan menjalankan fungsi Amazon dianggap masih berada dalam alur tugas yang diizinkan .
3. Konfirmasi pengguna tidak selalu muncul karena tindakan diklasifikasikan sebagai aktivitas rutin, atau dapat diterima secara otomatis dalam alur kerja agen .

Temuan ini memperlihatkan perbedaan penting antara keamanan aplikasi tradisional dan keamanan agen AI. Pada aplikasi biasa, izin umumnya terikat pada fungsi tertentu. Pada agen AI, izin yang luas dapat dipakai untuk menjalankan banyak langkah yang tidak pernah dimaksudkan pengguna.

Respons industri dan penghentian Atlas

OpenAI telah mengumumkan pada 9 Juli 2026 bahwa Atlas akan berhenti berfungsi pada 9 Agustus 2026, hanya beberapa hari setelah presentasi Black Hat . Perusahaan menghentikan Atlas sebagai browser mandiri dan memindahkan kemampuan agen untuk pekerjaan berbasis browser ke aplikasi desktop ChatGPT, integrasi Chrome, ChatGPT Work, dan Codex .

Menurut halaman bantuan OpenAI, setelah 9 Agustus Atlas mungkin tidak lagi dapat membuka halaman, menjelajah, atau mendukung fitur berbasis browser, serta tidak akan menerima pembaruan keamanan . OpenAI juga menyatakan telah menerapkan perbaikan untuk isu spesifik yang didemonstrasikan .

Perplexity AI telah menambal kerentanan Comet sebelum pengungkapan publik pada Maret 2026 . Temuan lintas vendor yang dipresentasikan di Black Hat merupakan hasil koordinasi Zenity dengan perusahaan-perusahaan terdampak melalui proses pengungkapan yang bertanggung jawab .

Mengapa Zenity meminta pengaman deterministik?

Menurut Zenity, penyaring keamanan berbasis AI tidak dapat menjadi satu-satunya pertahanan untuk browser agen . Penyaring itu sendiri merupakan model AI, sehingga dapat dipengaruhi oleh pergantian bahasa, input adversarial, atau prompt injection—jenis manipulasi yang sama yang dimanfaatkan dalam serangan ini .

Para peneliti mendorong penggunaan barrier keamanan deterministik, yaitu kontrol keras yang tidak dapat dilewati hanya dengan memanipulasi model. Contohnya meliputi:

• Konfirmasi izin wajib yang tidak dapat diotomatisasi agen untuk tindakan sensitif seperti mengirim pesan, melakukan pembayaran, atau mengakses file.
• Isolasi yang ditegakkan perangkat keras antara proses agen dan kredensial pengguna.
• Konfirmasi di luar jalur agen, misalnya biometrik atau kunci keamanan perangkat keras, untuk tindakan yang mengubah akun, mengirim pesan, atau memulai transaksi keuangan.

CTO Zenity, Michael Bargury, merangkum kekhawatiran tersebut: “Anda tidak dapat menyelesaikan masalah keamanan deterministik dengan penyaring AI probabilistik.”

Pelajaran utamanya: masalah desain, bukan sekadar tambalan

PleaseFix bukan hanya kumpulan bug yang dapat dibereskan dengan satu pembaruan. Temuan ini menyoroti masalah desain pada cara browser agen mempercayai konten yang dibaca dan menjalankan tindakan atas nama pengguna . Seluruh browser agen utama yang diuji dilaporkan memiliki jalur serangan.

Kasus Atlas menjadi contoh paling mencolok: bahkan dengan penyaring keamanan, sandbox, dan konfirmasi pengguna, agen tetap dapat diarahkan melalui pergantian bahasa dan benturan maksud. Bagi industri, pesannya jelas—sebelum agen AI digunakan secara luas untuk mengelola akun, pesan, file, dan transaksi, pengaman deterministik di tingkat browser dan sistem operasi perlu menjadi lapisan wajib, bukan pilihan tambahan .