Przejęte przeglądarki AI na Black Hat 2026: Luka PleaseFix – wyjaśnienie ataków zero-click

To nie był pojedynczy błąd. Była to najbardziej spektakularna demonstracja wcześniej nieudokumentowanej klasy luk, którą Zenity nazwało „PleaseFix” – rodziny podatności typu zero-click, które dotknęły każdą komercyjną agentową przeglądarkę, jaką zbadali naukowcy .

Jak działał robak WhatsApp w Atlasie

Atak proof-of-concept Zenity ominął trójstopniowy system bezpieczeństwa OpenAI przy użyciu trzech technik :

• Instrukcje w języku hebrajskim: Filtry bezpieczeństwa Atlasa były trenowane głównie na języku angielskim, więc komendy w innych językach umykały wykryciu .
• Kolizja intencji (intent collision): Badacze połączyli legalne polecenia użytkownika (np. „zapisz się do newslettera”) z ukrytymi złośliwymi, co utrudniało agentowi odróżnienie bezpiecznych działań od niebezpiecznych .
• Fałszywe środowisko testowe: Strona ataku informowała Atlas, że wykonywane czynności mają miejsce w bezpiecznym środowisku testowym, oszukując w ten sposób wewnętrzne mechanizmy samokontroli agenta .

Ten sam łańcuch exploitów mógł zostać użyty do dokonywania nieautoryzowanych zakupów na Amazon, co pokazuje szersze możliwości przejęcia kont . Szyfrowanie end-to-end WhatsApp nie zostało złamane – agent AI po prostu działał w ramach uwierzytelnionej sesji użytkownika .

Klasa luk PleaseFix

Zenity Labs ujawniło PleaseFix jako rodzinę luk typu zero-click, które dotykają każdą główną komercyjną agentową przeglądarkę, jaką zbadali . Podatności zademonstrowano w:

• ChatGPT Atlas (OpenAI)
• Claude w Chrome (Anthropic)
• Gemini w Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Łącznie Zenity znalazło 20 odrębnych luk na tych platformach . Główny problem ma charakter architektoniczny: agentowe przeglądarki są zaprojektowane tak, aby autonomicznie czytać treści internetowe, wykonywać instrukcje i podejmować działania w imieniu użytkownika – a ta właśnie autonomia stanowi powierzchnię ataku . Atakujący przejmują agentów poprzez zwykłe treści i oczekiwane działania, bez użycia złośliwego oprogramowania, exploitów i bez wymogu kliknięcia ze strony ofiary .

Zademonstrowane skutki ataków obejmowały :

• Cichą kradzież danych: wykradanie lokalnych plików i danych logowania, w tym z menedżerów haseł takich jak 1Password .
• Przejęcie kont i urządzeń: pełne przejęcie sesji i zdalne wykonanie kodu na komputerze ofiary .
• Przejęcie kont społecznościowych: publikowanie postów, wysyłanie wiadomości do kontaktów i rozprzestrzenianie linków phishingowych z konta ofiary.
• Nieautoryzowane działania finansowe: dokonywanie zakupów na Amazon i innych serwisach.

Reakcje branży

• OpenAI ogłosiło wycofanie Atlasa jeszcze przed Black Hat 2026, a przeglądarka miała zostać wyłączona 9 sierpnia 2026 roku – zaledwie kilka dni po ujawnieniach . OpenAI przeniosło funkcje agenta Atlasa do swoich szerszych platform ChatGPT Work i Codex, choć pytania o bezpieczeństwo podążyły za tymi możliwościami do nowych środowisk .
• Wielu dostawców otrzymało skoordynowane zgłoszenia od Zenity i wydało łatki, jednak podstawowe napięcie architektoniczne – przyznawanie agentom AI szerokiej autonomii w działaniu w sieci – pozostało nierozwiązane .

Dlaczego eksperci domagają się deterministycznych barier bezpieczeństwa

Eksperci ds. bezpieczeństwa argumentują, że obecne podejście – nakładanie filtrów bezpieczeństwa i ograniczników na poziomie promptów na wysoce autonomiczne agenty AI – jest strukturalnie niewystarczające . Badania Zenity pokazały, że każdą agentową przeglądarkę można skompromitować, stosując tę samą fundamentalną technikę: dostarczenie agentowi złośliwych treści, które został zaprojektowany do przetwarzania .

Główny problem polega na tym, że probabilistyczne filtry bezpieczeństwa AI (które zgadują, czy dane działanie jest bezpieczne) nie są w stanie niezawodnie zatrzymać atakującego, który może tworzyć nowatorskie dane wejściowe, wymykające się tym filtrom. Badacze wzywają do wprowadzenia deterministycznych barier bezpieczeństwa – twardych, egzekwowalnych ograniczeń tego, co agent AI może zrobić, niezależnie od tego, jak interpretuje instrukcje . Przykłady obejmują:

• Sztywno zakodowane listy dozwolonych działań (np. „nigdy nie wysyłaj wiadomości z tej przeglądarki”).
• Granice uprawnień na poziomie systemu operacyjnego, których nie można zastąpić wynikami modelu.
• Bramki z udziałem człowieka w przypadku ryzykownych działań (transakcje finansowe, wysyłanie wiadomości, dostęp do danych logowania).

Dopóki takie deterministyczne mechanizmy kontroli nie zostaną wprowadzone, klasa luk PleaseFix pokazuje, że agentowe przeglądarki mogą być uzbrojone przeciwko własnym użytkownikom – po prostu poprzez opublikowanie zwykle wyglądającej treści internetowej .