Pelayar AI Dirampas di Black Hat 2026: Kecacatan PleaseFix Boleh Hantar Spam WhatsApp dan Buat Pembelian Tanpa Kebenaran

Dalam demonstrasi itu, mangsa hanya perlu meminta Atlas melanggan surat berita atau melakukan tindakan biasa pada pautan tersebut. Arahan tersembunyi kemudiannya mengarahkan ejen membuka sesi WhatsApp Web yang sudah dilog masuk dan menghantar mesej yang telah disediakan kepada kenalan mangsa. Jika penerima menggunakan Atlas dan membuka pautan sama, serangan itu berpotensi berulang—seperti cacing digital yang merebak dari satu akaun ke akaun lain .

Zenity turut menunjukkan bahawa Atlas boleh diperdaya untuk menambah alamat penghantaran ke akaun Amazon yang telah dilog masuk, memasukkan barangan ke dalam troli dan membolehkan pembantu beli-belah AI Amazon, Rufus, melengkapkan pembelian tanpa pengetahuan atau persetujuan pengguna .

Penting untuk difahami, demonstrasi ini tidak mengeksploitasi kelemahan WhatsApp. Penyulitan hujung ke hujung WhatsApp kekal utuh. Masalahnya terletak pada cara ejen AI mentafsir kandungan web dan menggunakan kebenaran pengguna untuk melakukan tindakan merentas aplikasi .

Apa itu kelemahan PleaseFix?

Serangan terhadap Atlas hanyalah contoh paling dramatik bagi keluarga kelemahan yang dinamakan PleaseFix oleh Zenity. Penyelidik berkata kira-kira 20 kecacatan ditemui merentasi lima pelayar atau pembantu pelayar berasaskan AI .

Pelayar biasa memaparkan halaman untuk dibaca manusia. Pelayar agentic pula boleh membaca kandungan, memahami arahan dan melaksanakan tugasan bagi pihak pengguna. Di sinilah risikonya: ejen boleh menganggap arahan yang diselitkan dalam e-mel, laman web, jemputan kalendar atau dokumen sebagai sebahagian daripada kehendak pengguna .

Penyerang tidak semestinya memerlukan perisian hasad, eksploit tradisional atau klik yang disengajakan. Kandungan yang kelihatan rutin sudah memadai jika ejen membacanya dan mempunyai akses kepada tab, kuki atau sesi akaun yang telah disahkan .

Tiga teknik utama yang didemonstrasikan

• Arahan dalam bahasa tersembunyi: Dalam kes Atlas, arahan ditulis dalam bahasa Ibrani. Teknik pertukaran bahasa ini mengeksploitasi perbezaan antara model AI yang masih memahami arahan tersebut dengan penapis keselamatan yang lebih banyak dilatih menggunakan bahasa Inggeris . Penyamaran Unicode atau bahasa bukan Inggeris juga boleh digunakan untuk tujuan sama .
• “Perlanggaran niat” (intent collision): Ejen mencampurkan arahan pengguna yang sah dengan arahan berbahaya yang terdapat dalam kandungan yang dibacanya. Akibatnya, matlamat penyerang boleh kelihatan seperti sebahagian daripada tugasan pengguna .
• Penipuan kotak pasir (sandbox deception): Sistem menganggap tindakan itu dibenarkan kerana ia berlaku dalam aliran kerja yang kelihatan sah. Namun, kebenaran ejen terhadap tab pelayar, kuki dan sesi yang telah dilog masuk akhirnya menjadi permukaan serangan .

Kesan yang lebih luas: fail, pengurus kata laluan dan akaun beli-belah

Zenity berkata rantaian serangan PleaseFix menunjukkan beberapa risiko besar:

• Akses kepada komputer tempatan: Serangan boleh membawa kepada pencurian data secara senyap dan, dalam rantaian tertentu, kawalan jauh terhadap peranti mangsa .
• Kecurian kelayakan: Penyelidik menunjukkan laluan serangan yang menyasarkan peti kebal pengurus kata laluan seperti 1Password dalam sesi yang telah disahkan .
• Pembelian tanpa kebenaran: Ejen boleh menambah alamat, memasukkan barangan ke troli dan meneruskan pembayaran menggunakan akaun beli-belah yang telah dilog masuk .
• Pengambilalihan akaun: Rantaian penuh yang didemonstrasikan menunjukkan bagaimana akses ejen boleh disalahgunakan untuk mengambil alih akaun atau mengawal peranti .

Pada Mac 2026, Zenity terlebih dahulu mendedahkan bahawa jemputan Google Calendar yang telah dipersenjatai boleh merampas Perplexity Comet. Apabila diproses oleh ejen, jemputan itu boleh digunakan untuk mengeluarkan fail tempatan dan mencuri kelayakan 1Password tanpa satu pun klik daripada pengguna .

Mengapa Atlas tetap tewas walaupun mempunyai perlindungan paling banyak?

Antara pelayar yang diuji, Atlas dilaporkan mempunyai lapisan pertahanan paling banyak: pengelas keselamatan berasaskan AI, kotak pasir pelaksanaan terhad dan gesaan pengesahan manusia untuk tindakan sensitif . Namun, Zenity berkata ketiga-tiga lapisan itu dapat dielakkan .

1. Pengesan keselamatan: Arahan berbahasa Ibrani berjaya mengelak penandaan kerana bahasa itu kurang diwakili dalam data latihan pengelas, walaupun model utama masih memahami maksudnya .
2. Kotak pasir: Melalui perlanggaran niat, Atlas menganggap pendaftaran surat berita sebagai tugasan yang sah. Tindakan susulan terhadap WhatsApp dan Amazon kemudiannya kelihatan seperti sebahagian daripada tugasan tersebut .
3. Pengesahan pengguna: Sesetengah gesaan tidak muncul kerana tindakan dikategorikan sebagai rutin, bukannya sensitif. Dalam aliran kerja ejen yang diautomatikkan, peluang pengguna untuk campur tangan juga boleh terlepas .

Tindakan industri dan penamatan Atlas

OpenAI sebelum ini mengumumkan pada 9 Julai 2026 bahawa Atlas akan dihentikan pada 9 Ogos 2026—hanya empat hari selepas pembentangan Black Hat . Syarikat itu menamatkan Atlas sebagai pelayar kendiri dan memindahkan keupayaan ejen berasaskan pelayar ke aplikasi desktop ChatGPT, integrasi Chrome, ChatGPT Work dan Codex .

Menurut halaman bantuan OpenAI, selepas tarikh tersebut Atlas mungkin tidak lagi boleh membuka halaman, melayari web atau menyokong ciri berasaskan pelayar, selain tidak lagi menerima kemas kini keselamatan . OpenAI turut berkata pembaikan telah digunakan untuk isu khusus yang didemonstrasikan .

Vendor lain juga bertindak melalui proses pendedahan bertanggungjawab. Perplexity AI telah mengeluarkan tampalan untuk kelemahan Comet sebelum pendedahan awam pada Mac 2026 . Penemuan merentas vendor yang dibentangkan di Black Hat dibuat selepas Zenity bekerjasama dengan syarikat-syarikat terjejas .

Zenity mahu kawalan yang tidak boleh dipujuk oleh AI

Menurut Zenity, pengelas keselamatan berasaskan AI sahaja tidak mencukupi untuk melindungi pelayar agentic . Pengelas itu sendiri ialah model AI, maka ia boleh dipengaruhi oleh arahan berbahaya, pertukaran bahasa atau serangan suntikan arahan—iaitu teknik yang sama digunakan untuk memperdaya ejen .

Penyelidik menggesa industri membina halangan keselamatan deterministik pada peringkat sistem operasi dan seni bina pelayar. Halangan ini perlu bersifat keras, wajib dan tidak boleh dilangkau hanya dengan memanipulasi model. Contohnya termasuk:

• Gesaan kebenaran wajib yang tidak boleh diluluskan secara automatik untuk penghantaran mesej, pembayaran atau akses fail.
• Pengasingan yang dikuatkuasakan perkakasan antara proses ejen dan kelayakan pengguna.
• Pengesahan di luar jalur, seperti biometrik atau kunci keselamatan, bagi tindakan yang mengubah akaun, menghantar mesej atau memulakan transaksi kewangan.

Michael Bargury, CTO Zenity, merumuskan isu itu dengan jelas: “Anda tidak boleh menyelesaikan masalah keselamatan deterministik dengan pengelas AI yang bersifat kebarangkalian.”

Masalah reka bentuk, bukan sekadar pepijat

Pengajaran utama daripada PleaseFix ialah risikonya bukan semata-mata satu pepijat yang boleh ditampal. Ia berpunca daripada reka bentuk asas pelayar agentic yang membenarkan ejen mempercayai kandungan yang dibacanya dan bertindak menggunakan akses sah pengguna .

Kelima-lima platform utama yang diuji terdedah kepada bentuk serangan ini. Atlas, walaupun mempunyai pertahanan paling banyak, tetap boleh diperdaya melalui pertukaran bahasa dan kekeliruan niat. Sebelum ejen AI diberi kuasa lebih luas untuk bertindak bagi pihak manusia, perlindungan di peringkat sistem operasi dan pelayar perlu memastikan tindakan sensitif tidak boleh diluluskan oleh model semata-mata .