ИИ-браузеры взломали на Black Hat 2026: уязвимости PleaseFix превратили Atlas в WhatsApp-червя

Цепочка атаки выглядела так:

1. Исследователи разместили в X ссылку на внешне безобидную страницу регистрации на рассылку.
2. В содержимое страницы спрятали вредоносные инструкции на иврите. Такой прием должен был обойти защитный классификатор OpenAI, ориентированный преимущественно на англоязычные инструкции, хотя основная модель при этом понимала текст .
3. Когда пользователь попросил Atlas оформить подписку, агент обработал не только видимую задачу, но и скрытые команды. Он в фоновом режиме открыл уже авторизованную сессию WhatsApp Web и отправил заранее подготовленное сообщение всем контактам пользователя .

Получатели этого сообщения могли перейти по той же ссылке. Если среди них были пользователи Atlas, сценарий повторялся — так атака получала возможность распространяться дальше .

Исследователи также продемонстрировали другой сценарий: Atlas мог добавить адрес доставки в авторизованный аккаунт Amazon, положить товары в корзину и передать управление ассистенту Amazon Rufus, который завершал покупку без ведома и согласия владельца аккаунта .

Важно, что уязвимость находилась не в WhatsApp. Сквозное шифрование мессенджера не обходилось и не взламывалось. Проблема была в том, как ИИ-браузер интерпретирует содержимое веб-страниц и распоряжается разрешениями пользователя .

Что такое PleaseFix

Атака на Atlas оказалась лишь самым эффектным примером более широкой группы уязвимостей, которую Zenity назвала PleaseFix. Исследователи сообщили о примерно 20 недостатках в пяти крупных браузерах и браузерных агентах :

Главная особенность PleaseFix — архитектурная. Такие агенты не просто отображают сайты: они читают письма, веб-страницы, приглашения в календаре и документы, а затем самостоятельно выполняют действия в авторизованных сервисах. Если в обычном контенте спрятать инструкции, агент может принять их за часть задания пользователя .

Поэтому в ряде сценариев злоумышленнику не нужно убеждать человека открыть вредоносную ссылку или вручную подтвердить операцию. Достаточно, чтобы агент обработал специально подготовленное содержимое в рамках привычного рабочего процесса .

Zenity называет основной механизм «столкновением намерений» (intent collision). ИИ смешивает законную просьбу пользователя с командами, добавленными атакующим, и начинает воспринимать чужую цель как часть исходного задания .

Какие методы использовали исследователи

• Скрытые инструкции на другом языке. Иврит, Unicode-маскировка и другие неанглоязычные варианты текста могут затруднить работу защитных классификаторов, тогда как основная языковая модель все еще способна понять команду .
• Столкновение намерений. Вредоносная инструкция подается в контексте легитимного действия, поэтому система оценки запроса считает последующие шаги связанными с задачей пользователя .
• Обман песочницы. Агент использует свои штатные разрешения — доступ к вкладкам, локальным cookie и авторизованным сессиям — таким образом, что разрешенная операция превращается в канал атаки .

Иными словами, речь идет не обязательно о вредоносной программе или классическом эксплойте. Опасным становится сам агент, который слишком буквально выполняет команды из недоверенного контента .

Чем это грозит пользователю

В рамках раскрытых цепочек Zenity описала последствия, выходящие далеко за пределы рассылки спама:

• Доступ к локальному компьютеру. Атаки могли привести к скрытой краже данных и удаленному управлению устройством .
• Компрометация менеджеров паролей. Исследователи показали сценарии, затрагивающие хранилища учетных данных, включая 1Password .
• Несанкционированные покупки. Агент мог использовать уже открытые сессии магазинов, добавить адрес и завершить оформление заказа .
• Захват аккаунтов и устройств. Полные цепочки атак демонстрировали пути к компрометации учетных записей и удаленному контролю над устройством .

Один из первых публично описанных сценариев PleaseFix появился в марте 2026 года: вредоносное приглашение Google Calendar могло заставить Perplexity Comet передать локальные файлы и получить доступ к учетным данным 1Password — без клика со стороны пользователя .

Почему не помогли многоуровневые защиты Atlas

Среди протестированных продуктов Atlas считался браузером с наиболее комплексной защитой. В нем использовались ИИ-классификатор безопасности, ограниченная песочница и запросы подтверждения пользователя для чувствительных действий . Однако исследователи заявили, что смогли обойти все три уровня :

1. Классификатор безопасности не распознал инструкции на иврите как вредоносные .
2. Песочница не сочла последующие действия подозрительными, поскольку агент интерпретировал подписку на рассылку как законную пользовательскую задачу. В результате связанные с ней обращения к WhatsApp и Amazon выглядели для системы допустимыми .
3. Подтверждения пользователя могли не появиться, если агент классифицировал действие как обычное, а не чувствительное, либо выполнял его в рамках автоматизированного сценария .

Этот результат особенно важен: дополнительные ИИ-проверки не создают абсолютной границы между командой пользователя и инструкцией, спрятанной в прочитанном контенте. Если один ИИ-агент понимает текст, а другой должен определить, опасен ли он, атакующему остается искать расхождение между их интерпретациями.

Что сделали компании

OpenAI объявила о прекращении работы Atlas еще 9 июля 2026 года. Согласно плану компании, самостоятельный браузер должен был перестать работать 9 августа 2026 года, а его браузерные возможности переносились в настольное приложение ChatGPT, интеграцию с Chrome, ChatGPT Work и Codex . После этой даты Atlas мог перестать открывать сайты и поддерживать браузерные агентные функции, а регулярные обновления безопасности для него прекращались .

OpenAI также сообщила, что выпустила исправления для конкретных проблем, показанных исследователями . При этом закрытие самостоятельного браузера не устраняет общий риск: агентные функции продолжают развиваться в других продуктах и интеграциях.

Perplexity, со своей стороны, выпустила исправления для уязвимостей Comet до публичного раскрытия первоначальных результатов в марте 2026 года . Расширенные результаты по пяти платформам Zenity представила на Black Hat после работы с затронутыми компаниями в рамках процедур ответственного раскрытия .

Почему исследователи требуют не только ИИ-защиты

Главный вывод Zenity заключается в том, что ИИ-классификаторы сами по себе не могут надежно защищать агентные браузеры . Они являются вероятностными моделями и потому уязвимы к смене языка, обфускации, промпт-инъекциям и другим специально подготовленным входным данным .

Исследователи предлагают дополнять такие системы детерминированными барьерами — правилами, которые нельзя отменить или обойти изменением формулировки для модели . Среди возможных мер:

• обязательные запросы разрешения, которые агент не может автоматически принять для отправки сообщений, доступа к файлам и платежей;
• аппаратно реализованная изоляция процессов агента от пользовательских учетных данных;
• подтверждение по отдельному каналу — например, биометрией или аппаратным ключом — для изменения аккаунтов, отправки сообщений и финансовых операций.

Глава технического направления Zenity Майкл Баргири сформулировал этот принцип так: «Нельзя решить детерминированную проблему безопасности с помощью вероятностного ИИ-классификатора» .

Главное: проблема заложена в самой модели работы

PleaseFix — это не одна ошибка, которую достаточно закрыть очередным патчем. По версии Zenity, это класс атак, возникающий из-за того, что агентные браузеры доверяют содержимому, которое должны читать, и получают возможность действовать в авторизованных сессиях .

Уязвимыми оказались все пять протестированных платформ. Даже Atlas с наиболее сложной системой защиты удалось обмануть с помощью смены языка и смешения намерений. Поэтому безопасное масштабирование ИИ-браузеров потребует не только более умных моделей, но и жестких ограничений на уровне браузера и операционной системы — особенно перед отправкой сообщений, чтением локальных файлов, использованием паролей и совершением покупок .