Dette var ikke en isolert feil. Det var den mest dramatiske demonstrasjonen av en tidligere udokumentert klasse av sårbarheter som Zenity kaller «PleaseFix» – en familie av nullklikks-sårbarheter som rammet alle kommersielle agentnettlesere forskerne undersøkte .

Slik fungerte Atlas WhatsApp-ormen

Zenitys proof-of-concept-angrep omgikk OpenAIs trelags sikkerhetssystem ved hjelp av tre teknikker :

• Instruksjoner på hebraisk: Atlas' sikkerhetsfiltre var hovedsakelig trent på engelsk, slik at ikke-engelske kommandoer unngikk oppdagelse .
• Intensjonskollisjon: Forskerne blandet legitime brukerkommandoer (som «abonner på nyhetsbrev») med skjulte ondsinnede instruksjoner, noe som gjorde det vanskelig for agenten å skille trygge fra utrygge handlinger .
• Falske sandkassepåstander: Angrepssiden fortalte Atlas at handlingene foregikk i et trygt testmiljø, og lurte dermed agentens egne sikkerhetssjekker .

Den samme angrepskjeden kunne også brukes til å gjøre uautoriserte kjøp på Amazon, noe som viser en bredere evne til kontoovertakelse . Det er viktig å merke seg at WhatsApps ende-til-ende-kryptering ikke ble brutt – AI-agenten handlet bare innenfor brukerens autentiserte økt .

PleaseFix-sårbarhetsklassen

Zenity Labs offentliggjorde PleaseFix som en familie av nullklikks-sårbarheter som rammet alle store kommersielle agentnettlesere de undersøkte . Feilene ble demonstrert på tvers av:

• ChatGPT Atlas (OpenAI)
• Claude i Chrome (Anthropic)
• Gemini i Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Totalt fant Zenity 20 ulike feil på disse plattformene . Kjerneproblemet er arkitektonisk: agentnettlesere er designet for å autonomt lese nettinnhold, følge instruksjoner og utføre handlinger på vegne av brukeren – og nettopp denne autonomien er angrepsflaten . Angripere kan kapre agenter gjennom vanlig innhold og forventede handlinger uten skadelig programvare, uten utnyttelser og uten at brukeren klikker på noe .

De demonstrerte angrepsutfallene inkluderte :

• Stillferdig datatyveri: uthenting av lokale filer og innloggingsopplysninger, inkludert fra passordadministratorer som 1Password .
• Konto- og enhetsovertakelse: full øktkapring og ekstern kodekjøring på maskinen som kjører nettleseren .
• Kapring av sosiale medier-kontoer: publisering av innlegg, sending av meldinger til kontakter og spredning av phishing-lenker fra offerets kontoer.
• Uautoriserte økonomiske handlinger: gjennomføring av kjøp på Amazon og andre tjenester.

Bransjens respons

• OpenAI hadde allerede kunngjort at Atlas skulle avvikles før Black Hat 2026, og nettleseren ble stengt 9. august 2026 – bare dager etter avsløringene . OpenAI flyttet Atlas' agentfunksjoner til de bredere ChatGPT Work- og Codex-plattformene, men sikkerhetsspørsmålene fulgte agentkapabilitetene til disse nye miljøene .
• Flere leverandører mottok koordinerte avsløringer fra Zenity og ga ut sikkerhetsoppdateringer, men den grunnleggende arkitektoniske spenningen – å gi AI-agenter bred autonomi til å handle på nettet – forble uløst .

Hvorfor eksperter krever deterministiske sikkerhetsbarrierer

Sikkerhetsforskere argumenterer for at dagens tilnærming – å legge lag med sikkerhetsfiltre og prompt-baserte retningslinjer på toppen av svært autonome AI-agenter – er strukturelt utilstrekkelig . Zenitys forskning viste at hver eneste agentnettleser kunne kompromitteres ved hjelp av den samme grunnleggende teknikken: å mate agenten med ondsinnet innhold den var designet for å behandle .

Kjerneproblemet er at probabilistiske AI-sikkerhetsfiltre (som gjetter om en handling er trygg) ikke pålitelig kan stoppe en angriper som kan lage nye inndata som glir forbi filtrene. Forskerne etterlyser deterministiske sikkerhetsbarrierer – harde, håndhevbare begrensninger på hva en AI-agent har lov til å gjøre, uavhengig av hvordan den tolker instruksjoner . Eksempler inkluderer:

• Fastkodede tillatelseslister for tillatte handlinger (f.eks. «send aldri meldinger fra denne nettleseren»).
• Tillatelsesgrenser på operativsystemnivå som ikke kan overstyres av modellutdata.
• Menneske-i-loop-portvakter for høyrisikohandlinger (finansielle transaksjoner, meldinger, tilgang til innloggingsdetaljer).

Inntil slike deterministiske kontroller eksisterer, viser PleaseFix-klassen av feil at agentnettlesere kan bli brukt som våpen mot sine egne brukere, bare ved å publisere vanlig nettinnhold .

Dette var ikke en isolert feil. Det var den mest dramatiske demonstrasjonen av en tidligere udokumentert klasse av sårbarheter som Zenity kaller «PleaseFix» – en familie av nullklikks-sårbarheter som rammet alle kommersielle agentnettlesere forskerne undersøkte .

Slik fungerte Atlas WhatsApp-ormen

Zenitys proof-of-concept-angrep omgikk OpenAIs trelags sikkerhetssystem ved hjelp av tre teknikker :

• Instruksjoner på hebraisk: Atlas' sikkerhetsfiltre var hovedsakelig trent på engelsk, slik at ikke-engelske kommandoer unngikk oppdagelse .
• Intensjonskollisjon: Forskerne blandet legitime brukerkommandoer (som «abonner på nyhetsbrev») med skjulte ondsinnede instruksjoner, noe som gjorde det vanskelig for agenten å skille trygge fra utrygge handlinger .
• Falske sandkassepåstander: Angrepssiden fortalte Atlas at handlingene foregikk i et trygt testmiljø, og lurte dermed agentens egne sikkerhetssjekker .

Den samme angrepskjeden kunne også brukes til å gjøre uautoriserte kjøp på Amazon, noe som viser en bredere evne til kontoovertakelse . Det er viktig å merke seg at WhatsApps ende-til-ende-kryptering ikke ble brutt – AI-agenten handlet bare innenfor brukerens autentiserte økt .

PleaseFix-sårbarhetsklassen

Zenity Labs offentliggjorde PleaseFix som en familie av nullklikks-sårbarheter som rammet alle store kommersielle agentnettlesere de undersøkte . Feilene ble demonstrert på tvers av:

• ChatGPT Atlas (OpenAI)
• Claude i Chrome (Anthropic)
• Gemini i Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Totalt fant Zenity 20 ulike feil på disse plattformene . Kjerneproblemet er arkitektonisk: agentnettlesere er designet for å autonomt lese nettinnhold, følge instruksjoner og utføre handlinger på vegne av brukeren – og nettopp denne autonomien er angrepsflaten . Angripere kan kapre agenter gjennom vanlig innhold og forventede handlinger uten skadelig programvare, uten utnyttelser og uten at brukeren klikker på noe .

De demonstrerte angrepsutfallene inkluderte :

• Stillferdig datatyveri: uthenting av lokale filer og innloggingsopplysninger, inkludert fra passordadministratorer som 1Password .
• Konto- og enhetsovertakelse: full øktkapring og ekstern kodekjøring på maskinen som kjører nettleseren .
• Kapring av sosiale medier-kontoer: publisering av innlegg, sending av meldinger til kontakter og spredning av phishing-lenker fra offerets kontoer.
• Uautoriserte økonomiske handlinger: gjennomføring av kjøp på Amazon og andre tjenester.

Bransjens respons

• OpenAI hadde allerede kunngjort at Atlas skulle avvikles før Black Hat 2026, og nettleseren ble stengt 9. august 2026 – bare dager etter avsløringene . OpenAI flyttet Atlas' agentfunksjoner til de bredere ChatGPT Work- og Codex-plattformene, men sikkerhetsspørsmålene fulgte agentkapabilitetene til disse nye miljøene .
• Flere leverandører mottok koordinerte avsløringer fra Zenity og ga ut sikkerhetsoppdateringer, men den grunnleggende arkitektoniske spenningen – å gi AI-agenter bred autonomi til å handle på nettet – forble uløst .

Hvorfor eksperter krever deterministiske sikkerhetsbarrierer

Sikkerhetsforskere argumenterer for at dagens tilnærming – å legge lag med sikkerhetsfiltre og prompt-baserte retningslinjer på toppen av svært autonome AI-agenter – er strukturelt utilstrekkelig . Zenitys forskning viste at hver eneste agentnettleser kunne kompromitteres ved hjelp av den samme grunnleggende teknikken: å mate agenten med ondsinnet innhold den var designet for å behandle .

Kjerneproblemet er at probabilistiske AI-sikkerhetsfiltre (som gjetter om en handling er trygg) ikke pålitelig kan stoppe en angriper som kan lage nye inndata som glir forbi filtrene. Forskerne etterlyser deterministiske sikkerhetsbarrierer – harde, håndhevbare begrensninger på hva en AI-agent har lov til å gjøre, uavhengig av hvordan den tolker instruksjoner . Eksempler inkluderer:

• Fastkodede tillatelseslister for tillatte handlinger (f.eks. «send aldri meldinger fra denne nettleseren»).
• Tillatelsesgrenser på operativsystemnivå som ikke kan overstyres av modellutdata.
• Menneske-i-loop-portvakter for høyrisikohandlinger (finansielle transaksjoner, meldinger, tilgang til innloggingsdetaljer).

Inntil slike deterministiske kontroller eksisterer, viser PleaseFix-klassen av feil at agentnettlesere kan bli brukt som våpen mot sine egne brukere, bare ved å publisere vanlig nettinnhold .