AI-browsers gekaapt op Black Hat 2026: zero-click 'PleaseFix'-kwetsbaarheden treffen alle grote platformen

Dit was geen geïsoleerde bug. Het was de meest dramatische demonstratie van een voorheen niet-gedocumenteerde klasse kwetsbaarheden die Zenity 'PleaseFix' noemt – een familie van zero-click fouten die elke commerciële agentische browser trof die de onderzoekers onderzochten .

Hoe de Atlas WhatsApp-worm werkte

Zenity's proof-of-concept-aanval omzeilde OpenAI's drieledige veiligheidssysteem met drie technieken :

• Instructies in het Hebreeuws: Atlas' veiligheidsfilters waren voornamelijk getraind op Engels, dus niet-Engelse commando's ontgingen detectie .
• Intentie-botsing: De onderzoekers vermengden legitieme gebruikerscommando's (zoals 'abonneren op nieuwsbrief') met verborgen kwaadaardige, waardoor het voor de agent moeilijk werd om veilige van onveilige acties te onderscheiden .
• Valse sandbox-claims: De aanvalspage vertelde Atlas dat de acties plaatsvonden in een veilige testomgeving, waarmee de eigen veiligheidscontroles van de agent werden misleid .

Dezelfde exploitketen kon ook worden gebruikt om ongeautoriseerde aankopen op Amazon te doen, wat een bredere account-overnamecapaciteit aantoont . WhatsApp's end-to-end-encryptie werd niet gebroken – de AI-agent handelde eenvoudigweg binnen de geauthenticeerde sessie van de gebruiker .

De PleaseFix-kwetsbaarheidsklasse

Zenity Labs onthulde PleaseFix als een familie van zero-click kwetsbaarheden die elke grote commerciële agentische browser trof die ze onderzochten . De fouten werden gedemonstreerd op:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

In totaal vond Zenity 20 verschillende fouten op deze platformen . Het kernprobleem is architecturaal: agentische browsers zijn ontworpen om autonoom webinhoud te lezen, instructies te volgen en acties uit te voeren namens de gebruiker – en die autonomie is zelf het aanvalsoppervlak . Aanvallers kapen agenten via gewone inhoud en verwachte acties, zonder malware, zonder exploits en zonder dat de gebruiker hoeft te klikken .

De gedemonstreerde aanvalsresultaten omvatten :

• Stille datadiefstal: exfiltratie van lokale bestanden en inloggegevens, waaronder uit wachtwoordmanagers zoals 1Password .
• Account- en apparaatovername: volledige sessiekaping en externe code-uitvoering op de machine die de browser draait .
• Overname van sociale media-accounts: posten, contacten berichten sturen en phishinglinks verspreiden vanaf de accounts van het slachtoffer.
• Ongeautoriseerde financiële acties: aankopen doen op Amazon en andere diensten.

Reacties uit de industrie

• OpenAI had de stopzetting van Atlas al aangekondigd vóór Black Hat 2026, waarbij de browser op 9 augustus 2026 werd uitgeschakeld – slechts dagen na de onthullingen . OpenAI verplaatste de agentfuncties van Atlas naar zijn bredere ChatGPT Work- en Codex-platformen, hoewel veiligheidsvragen de agentmogelijkheden naar die nieuwe omgevingen volgden .
• Meerdere leveranciers ontvingen gecoördineerde openbaarmakingen van Zenity en brachten patches uit, maar de fundamentele architectuurspanning – het verlenen van brede autonomie aan AI-agenten om op het web te handelen – bleef onopgelost .

Waarom experts pleiten voor deterministische veiligheidsbarrières

Veiligheidsonderzoekers stellen dat de huidige aanpak – het plaatsen van veiligheidsfilters en prompt-level vangrails bovenop zeer autonome AI-agenten – structureel ontoereikend is . Zenity's onderzoek toonde aan dat elke agentische browser kon worden gecompromitteerd met dezelfde fundamentele techniek: de agent voeren met kwaadaardige inhoud die hij was ontworpen om te verwerken .

Het kernprobleem is dat probabilistische AI-veiligheidsfilters (die raden of een actie veilig is) niet betrouwbaar een aanvaller kunnen stoppen die nieuwe inputs kan maken die langs die filters glippen. Onderzoekers pleiten voor deterministische veiligheidsbarrières – harde, afdwingbare beperkingen op wat een AI-agent mag doen, ongeacht hoe hij instructies interpreteert . Voorbeelden zijn:

• Hardgecodeerde toestemmingslijsten van toegestane acties (bijv. 'nooit berichten verzenden vanuit deze browser').
• Machtigingsgrenzen op besturingssysteemniveau die niet kunnen worden overschreven door modeluitvoer.
• Mens-in-de-lus-poorten voor acties met een hoog risico (financiële transacties, berichtenverkeer, toegang tot inloggegevens).

Totdat dergelijke deterministische controles bestaan, laat de PleaseFix-klasse van fouten zien dat agentische browsers kunnen worden bewapend tegen hun eigen gebruikers, simpelweg door gewoon ogende webinhoud te publiceren .