Black Hat 2026: i browser AI trasformati in armi. La scoperta choc delle vulnerabilità “PleaseFix”

Non si è trattato di un bug isolato. È stata la dimostrazione più eclatante di una classe di vulnerabilità precedentemente sconosciuta, che Zenity ha battezzato “PleaseFix”: una famiglia di falle zero-click che ha colpito tutti i principali browser “agentici” commerciali esaminati dai ricercatori .

Come funzionava il worm WhatsApp su Atlas

L’attacco proof-of-concept di Zenity ha aggirato il sistema di sicurezza a tre livelli di OpenAI utilizzando tre tecniche :

• Istruzioni in ebraico: i filtri di sicurezza di Atlas erano addestrati prevalentemente in inglese, quindi i comandi in altre lingue sono riusciti a eludere la rilevazione .
• Collisione di intenti: i ricercatori hanno mescolato comandi legittimi (come “iscriviti alla newsletter”) con istruzioni malevole nascoste, rendendo difficile per l’agente distinguere le azioni sicure da quelle pericolose .
• Falsa sandbox: la pagina malevola diceva ad Atlas che le azioni si svolgevano in un ambiente di test sicuro, ingannando i controlli di sicurezza interni dell’agente .

La stessa catena di exploit poteva essere usata anche per effettuare acquisti non autorizzati su Amazon, dimostrando una più ampia capacità di prendere il controllo dell’account . La crittografia end-to-end di WhatsApp non è stata violata: l’agente AI agiva semplicemente all’interno della sessione autenticata dell’utente .

La famiglia di vulnerabilità PleaseFix

Zenity Labs ha divulgato PleaseFix come una famiglia di vulnerabilità zero-click che colpisce tutti i principali browser agentici commerciali da loro esaminati . Le falle sono state dimostrate su:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

In totale, Zenity ha scoperto 20 diverse falle su queste piattaforme . Il problema è di natura architetturale: i browser agentici sono progettati per leggere autonomamente i contenuti web, seguire le istruzioni ed eseguire azioni per conto dell’utente, e questa stessa autonomia costituisce la superficie d’attacco . Gli aggressori dirottano gli agenti attraverso contenuti ordinari e azioni previste, senza bisogno di malware, exploit o click da parte dell’utente .

Gli attacchi dimostrati includevano :

• Furto silenzioso di dati: esfiltrazione di file locali e credenziali, anche da password manager come 1Password .
• Presa di controllo dell’account e del dispositivo: dirottamento completo della sessione ed esecuzione di codice remoto sulla macchina che esegue il browser .
• Dirottamento degli account social: pubblicazione di post, invio di messaggi ai contatti e diffusione di link di phishing dagli account della vittima.
• Azioni finanziarie non autorizzate: acquisti su Amazon e altri servizi.

Le risposte del settore

• OpenAI aveva già annunciato la dismissione di Atlas prima del Black Hat 2026, con il browser che sarebbe stato disattivato il 9 agosto 2026, a pochi giorni dalle rivelazioni . OpenAI ha trasferito le funzionalità agentiche di Atlas nelle più ampie piattaforme ChatGPT Work e Codex, ma le domande sulla sicurezza hanno seguito le capacità agentiche in questi nuovi ambienti .
• Diversi fornitori hanno ricevuto divulgazioni coordinate da Zenity e hanno rilasciato patch, ma la tensione architetturale di fondo — concedere agli agenti AI un’ampia autonomia per agire sul web — è rimasta irrisolta .

Perché gli esperti chiedono barriere di sicurezza deterministiche

I ricercatori di sicurezza sostengono che l’approccio attuale — sovrapporre filtri di sicurezza e guardrail a livello di prompt ad agenti AI altamente autonomi — è strutturalmente inadeguato . La ricerca di Zenity ha dimostrato che ogni singolo browser agentico poteva essere compromesso usando la stessa tecnica di base: fornire all’agente contenuti malevoli che era progettato per elaborare .

Il problema centrale è che i filtri di sicurezza probabilistici dell’AI (che “indovinano” se un’azione è sicura) non possono fermare in modo affidabile un attaccante in grado di creare input inediti che sfuggono a tali filtri. I ricercatori chiedono barriere di sicurezza deterministiche — vincoli rigidi e applicabili su ciò che un agente AI può fare, indipendentemente da come interpreta le istruzioni . Esempi includono:

• Liste di azioni consentite hardcoded (ad esempio, “non inviare mai messaggi da questo browser”).
• Limiti di autorizzazione a livello di sistema operativo che non possono essere sovrascritti dall’output del modello.
• Gate “human-in-the-loop” per azioni ad alto rischio (transazioni finanziarie, invio di messaggi, accesso alle credenziali).

Fino a quando non esisteranno tali controlli deterministici, la classe di falle PleaseFix dimostra che i browser agentici possono essere trasformati in armi contro i propri utenti semplicemente pubblicando contenuti web dall’aspetto ordinario .