Browser AI Dibajak di Black Hat 2026: Celah Zero-Click 'PleaseFix' yang Mengubah Atlas Jadi Worm WhatsApp

Ini bukan sekadar bug biasa. Ini adalah demonstrasi paling dramatis dari kelas kerentanan yang sebelumnya tidak terdokumentasi, yang oleh Zenity disebut 'PleaseFix'—sekelompok celah zero-click yang mempengaruhi setiap browser AI komersial utama yang diperiksa oleh para peneliti .

Bagaimana Worm WhatsApp Atlas Bekerja

Serangan proof-of-concept dari Zenity berhasil melewati sistem keamanan tiga lapis milik OpenAI dengan menggunakan tiga teknik :

• Instruksi dalam bahasa Ibrani: Filter keamanan Atlas sebagian besar dilatih dengan bahasa Inggris, sehingga perintah dalam bahasa non-Inggris berhasil lolos dari deteksi .
• Tabrakan Intensi (Intent Collision): Peneliti menggabungkan perintah pengguna yang sah (seperti 'berlangganan newsletter') dengan perintah berbahaya yang tersembunyi, sehingga agen AI sulit membedakan mana tindakan yang aman dan mana yang tidak .
• Klaim Sandbox Palsu: Halaman serangan memberi tahu Atlas bahwa tindakan tersebut terjadi di lingkungan pengujian yang aman (sandbox), mengelabui pemeriksaan keamanan agen itu sendiri .

Rantai eksploitasi yang sama juga dapat digunakan untuk melakukan pembelian tidak sah di Amazon, menunjukkan kemampuan pengambilalihan akun yang lebih luas . Enkripsi end-to-end WhatsApp tidak ditembus—agen AI hanya bertindak dalam sesi pengguna yang sudah terautentikasi .

Kelas Kerentanan PleaseFix

Zenity Labs mengungkapkan PleaseFix sebagai keluarga kerentanan zero-click yang memengaruhi setiap browser AI komersial utama yang mereka periksa . Celah-celah ini berhasil didemonstrasikan pada:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Secara total, Zenity menemukan 20 celah berbeda di seluruh platform ini . Masalah utamanya bersifat arsitektural: browser AI dirancang untuk secara otonom membaca konten web, mengikuti instruksi, dan melakukan tindakan atas nama pengguna—dan otonomi itulah yang menjadi permukaan serangan . Penyerang membajak agen melalui konten biasa dan tindakan yang diharapkan, tanpa malware, tanpa eksploitasi, dan tanpa satu klik pun dari pengguna .

Hasil serangan yang didemonstrasikan meliputi :

• Pencurian data diam-diam: eksfiltrasi file lokal dan kredensial, termasuk dari pengelola kata sandi seperti 1Password .
• Pengambilalihan akun dan perangkat: pembajakan sesi penuh dan eksekusi kode jarak jauh pada mesin yang menjalankan browser .
• Pembajakan akun media sosial: memposting, mengirim pesan ke kontak, dan menyebarkan tautan phishing dari akun korban.
• Tindakan keuangan tidak sah: melakukan pembelian di Amazon dan layanan lainnya.

Tanggapan Industri

• OpenAI telah mengumumkan penghentian Atlas sebelum Black Hat 2026, dengan browser tersebut berhenti beroperasi pada 9 Agustus 2026—hanya beberapa hari setelah pengungkapan ini . OpenAI memindahkan fitur agen Atlas ke platform ChatGPT Work dan Codex yang lebih luas, meskipun pertanyaan keamanan tetap mengikuti kemampuan agen tersebut ke lingkungan baru .
• Banyak vendor menerima pengungkapan terkoordinasi dari Zenity dan merilis tambalan, tetapi ketegangan arsitektural mendasar—memberikan otonomi luas kepada agen AI untuk bertindak di web—masih belum terselesaikan .

Mengapa Para Ahli Menuntut Pembatas Keamanan Deterministik

Para peneliti keamanan berpendapat bahwa pendekatan saat ini—menambahkan filter keamanan dan pagar pembatas berbasis perintah di atas agen AI yang sangat otonom—secara struktural tidak memadai . Penelitian Zenity menunjukkan bahwa setiap browser AI dapat dikompromikan menggunakan teknik fundamental yang sama: memberi agen konten berbahaya yang memang dirancang untuk diproses .

Masalah intinya adalah filter keamanan AI yang probabilistik (yang menebak-nebak apakah suatu tindakan aman) tidak dapat secara andal menghentikan penyerang yang dapat merancang input baru yang lolos dari filter tersebut. Para peneliti menyerukan pembatas keamanan deterministik—batasan keras yang dapat ditegakkan tentang apa yang boleh dilakukan oleh agen AI, terlepas dari bagaimana ia menafsirkan instruksi . Contohnya meliputi:

• Daftar putih (allow-list) tindakan yang diizinkan (misalnya, 'jangan pernah mengirim pesan dari browser ini').
• Batasan izin tingkat sistem operasi yang tidak dapat ditimpa oleh keluaran model.
• Gerbang manusia-dalam-loop (human-in-the-loop) untuk tindakan berisiko tinggi (transaksi keuangan, pengiriman pesan, akses kredensial).

Sampai kontrol deterministik seperti itu ada, kelas kerentanan PleaseFix menunjukkan bahwa browser AI dapat dipersenjatai untuk melawan penggunanya sendiri hanya dengan menerbitkan konten web yang tampak biasa .