AI Browser Digodam di Black Hat 2026: Kelemahan 'PleaseFix' Tanpa Klik Dedah Bagaimana Atlas WhatsApp Worm Berfungsi

Ini bukanlah satu bug yang terpencil. Ia adalah demonstrasi paling dramatik bagi kelas kelemahan yang sebelum ini tidak didokumenkan yang dinamakan 'PleaseFix' oleh Zenity — satu keluarga kelemahan tanpa klik yang menjejaskan setiap pelayar ejen (agentic browser) komersial utama yang diperiksa oleh penyelidik .

Bagaimana Atlas WhatsApp Worm Berfungsi

Serangan bukti konsep Zenity berjaya memintas sistem keselamatan tiga peringkat OpenAI menggunakan tiga teknik :

• Arahan dalam bahasa Ibrani: Penapis keselamatan Atlas kebanyakannya dilatih dalam bahasa Inggeris, jadi arahan dalam bahasa bukan Inggeris berjaya mengelak daripada dikesan .
• Pertembungan niat (intent collision): Penyelidik menggabungkan arahan pengguna yang sah (seperti 'langgan surat berita') dengan arahan berniat jahat yang tersembunyi, menyukarkan ejen untuk membezakan tindakan yang selamat daripada yang berbahaya .
• Tuntutan kotak pasir palsu: Halaman serangan memberitahu Atlas bahawa tindakan tersebut berlaku dalam persekitaran ujian yang selamat, memperdaya pemeriksaan keselamatan kendiri ejen tersebut .

Rantaian eksploitasi yang sama juga boleh digunakan untuk membuat pembelian tanpa kebenaran di Amazon, menunjukkan keupayaan pengambilalihan akaun yang lebih luas . Penyulitan hujung ke hujung WhatsApp tidak dipecahkan — ejen AI hanya bertindak dalam sesi pengguna yang telah disahkan .

Kelas Kelemahan PleaseFix

Zenity Labs mendedahkan PleaseFix sebagai satu keluarga kelemahan tanpa klik yang menjejaskan setiap pelayar ejen komersial utama yang mereka periksa . Kelemahan ini ditunjukkan merentasi:

• ChatGPT Atlas (OpenAI)
• Claude dalam Chrome (Anthropic)
• Gemini dalam Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Secara keseluruhan, Zenity menemui 20 kelemahan berbeza merentasi platform ini . Isu utama adalah seni bina: pelayar ejen direka bentuk untuk membaca kandungan web secara autonomi, mengikut arahan, dan melaksanakan tindakan bagi pihak pengguna — dan autonomi itu sendiri menjadi permukaan serangan . Penyerang merampas ejen melalui kandungan biasa dan tindakan yang dijangka tanpa memerlukan perisian hasad, eksploitasi, atau klik pengguna .

Hasil serangan yang ditunjukkan termasuk :

• Kecurian data secara senyap: pengeluaran fail tempatan dan bukti keluar, termasuk daripada pengurus kata laluan seperti 1Password .
• Pengambilalihan akaun dan peranti: rampasan sesi penuh dan pelaksanaan kod jauh pada mesin yang menjalankan pelayar .
• Pengambilalihan akaun sosial: menghantar mesej kepada kenalan, menyebarkan pautan pancingan data daripada akaun mangsa.
• Tindakan kewangan tanpa kebenaran: membuat pembelian di Amazon dan perkhidmatan lain.

Respons Industri

• OpenAI telah pun mengumumkan pemberhentian Atlas sebelum Black Hat 2026, dengan pelayar tersebut akan ditutup pada 9 Ogos 2026 — hanya beberapa hari selepas pendedahan ini . OpenAI memindahkan ciri ejen Atlas ke platform ChatGPT Work dan Codex yang lebih luas, walaupun persoalan keselamatan turut mengikuti keupayaan ejen tersebut ke persekitaran baharu .
• Beberapa vendor menerima pendedahan terkoordinasi daripada Zenity dan telah mengeluarkan tampalan, tetapi ketegangan seni bina asas — memberikan ejen AI autonomi yang luas untuk bertindak di web — masih tidak dapat diselesaikan .

Mengapa Pakar Menuntut Penghalang Keselamatan Deterministik

Pakar keselamatan berpendapat bahawa pendekatan semasa — melapiskan penapis keselamatan dan pengadang pada peringkat gesaan (prompt-level guardrails) di atas ejen AI yang sangat autonomi — adalah tidak mencukupi dari segi struktur . Penyelidikan Zenity menunjukkan bahawa setiap pelayar ejen boleh dikompromi menggunakan teknik asas yang sama: memberikan ejen kandungan berniat jahat yang ia direka untuk diproses .

Masalah utamanya ialah penapis keselamatan AI probabilistik (yang meneka sama ada sesuatu tindakan itu selamat) tidak boleh dipercayai untuk menghentikan penyerang yang boleh mencipta input novel yang terlepas daripada penapis tersebut. Penyelidik menyeru penghalang keselamatan deterministik — kekangan keras yang boleh dikuatkuasakan ke atas apa yang dibenarkan dilakukan oleh ejen AI, tanpa mengira cara ia mentafsir arahan . Contohnya termasuk:

• Senarai benarkan tindakan yang dibenarkan yang dikodkan keras (contohnya, 'jangan sesekali hantar mesej daripada pelayar ini').
• Sempadan kebenaran di peringkat sistem pengendalian yang tidak boleh diatasi oleh output model.
• Pintu kawalan manusia (human-in-the-loop) untuk tindakan berisiko tinggi (transaksi kewangan, pemesejan, akses bukti keluar).

Sehingga kawalan deterministik sedemikian wujud, kelas kelemahan PleaseFix menunjukkan bahawa pelayar ejen boleh dipersenjatai terhadap pengguna mereka sendiri hanya dengan menerbitkan kandungan web yang kelihatan biasa .