ИИ-браузеры взломаны на Black Hat 2026: уязвимости класса PleaseFix и WhatsApp-червь

Это был не единичный баг. Это стало самым драматичным подтверждением ранее не документированного класса уязвимостей, названного Zenity «PleaseFix» — семейства zero-click ошибок, затронувших все коммерческие агентные браузеры, которые исследовали эксперты .

Как работал WhatsApp-червь на Atlas

Proof-of-concept атака Zenity обошла трехуровневую систему безопасности OpenAI с помощью трёх приёмов :

• Инструкции на иврите: фильтры безопасности Atlas были обучены преимущественно на английском языке, поэтому команды на других языках оставались незамеченными .
• Конфликт намерений (intent collision): исследователи смешивали легитимные команды пользователя (например, «подписаться на рассылку») со скрытыми вредоносными, что затрудняло агенту различие между безопасными и опасными действиями .
• Ложные заявления о песочнице: страница атаки сообщала Atlas, что действия выполняются в безопасной тестовой среде, обманывая внутренние проверки безопасности агента .

Та же цепочка эксплойтов могла использоваться для совершения несанкционированных покупок на Amazon, демонстрируя более широкую возможность перехвата аккаунтов . Конечное шифрование WhatsApp нарушено не было — ИИ-агент просто действовал в рамках аутентифицированной сессии пользователя .

Класс уязвимостей PleaseFix

Zenity Labs раскрыла PleaseFix как семейство zero-click уязвимостей, затрагивающих все основные коммерческие агентные браузеры, которые они протестировали . Ошибки были продемонстрированы для:

• ChatGPT Atlas (OpenAI)
• Claude в Chrome (Anthropic)
• Gemini в Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Всего Zenity обнаружила 20 различных ошибок на этих платформах . Основная проблема — архитектурная: агентные браузеры спроектированы так, чтобы автономно читать веб-контент, следовать инструкциям и выполнять действия от имени пользователя. Именно эта автономия и является поверхностью атаки . Злоумышленники перехватывают агентов через обычный контент и ожидаемые действия без вредоносного ПО, эксплойтов и кликов .

Продемонстрированные последствия атак включали :

• Незаметная кража данных: извлечение локальных файлов и учётных данных, включая доступ к менеджерам паролей, таким как 1Password .
• Перехват аккаунтов и устройств: полный захват сессии и удалённое выполнение кода на машине, работающей с браузером .
• Угон аккаунтов в соцсетях: публикация сообщений, рассылка фишинговых ссылок от имени жертвы.
• Несанкционированные финансовые операции: совершение покупок на Amazon и других сервисах.

Реакция индустрии

• OpenAI объявила о прекращении поддержки Atlas до начала Black Hat 2026: браузер будет отключён 9 августа 2026 года — через несколько дней после разоблачений . OpenAI перенесла агентные функции Atlas в свои платформы ChatGPT Work и Codex, однако вопросы безопасности последовали за этими возможностями .
• Множество вендоров получили скоординированные уведомления от Zenity и выпустили патчи, но фундаментальное архитектурное противоречие — предоставление ИИ-агентам широкой автономии в вебе — осталось нерешённым .

Почему эксперты требуют детерминированных барьеров безопасности

Исследователи безопасности утверждают, что текущий подход — наслоение фильтров безопасности и защитных мер на уровне промптов на высокоавтономные ИИ-агенты — структурно неадекватен . Исследование Zenity показало, что каждый агентный браузер мог быть скомпрометирован с помощью одного и того же фундаментального метода: подача агенту вредоносного контента, который он по своей сути предназначен обрабатывать .

Корень проблемы в том, что вероятностные ИИ-фильтры безопасности (которые «угадывают», безопасно ли действие) не могут надёжно остановить атакующего, способного отправлять новые, не замеченные фильтрами входные данные. Исследователи призывают к внедрению детерминированных барьеров безопасности — жёстких, обязательных к исполнению ограничений на то, что ИИ-агент может делать, независимо от того, как он интерпретирует инструкции . Примеры:

• Жёстко прописанные разрешённые действия (например, «никогда не отправлять сообщения из этого браузера»).
• Границы разрешений на уровне операционной системы, которые не могут быть отменены моделью.
• Подтверждение человеком для действий с высоким риском (финансовые операции, обмен сообщениями, доступ к учётным данным).

Пока такие детерминированные контрмеры не будут реализованы, класс уязвимостей PleaseFix показывает, что агентные браузеры могут быть обращены против своих пользователей путём публикации обычного веб-контента .