AI-webbläsare kapades på Black Hat: Atlas kunde sprida WhatsApp-spam utan användarens vetskap

Detta var den mest uppseendeväckande delen av en större kartläggning. Zenity beskriver ungefär 20 brister i fem stora AI-webbläsare och samlar dem under namnet PleaseFix . Problemet är enligt forskarna inte främst en enskild programmeringsmiss, utan hur så kallade agentiska webbläsare är byggda: de läser innehåll och utför sedan uppgifter på användarens vägnar. Om en angripare gömmer instruktioner i ett mejl, en webbsida eller en kalenderinbjudan kan agenten blanda ihop angriparens instruktioner med användarens avsikt .

Så kapades Atlas i demonstrationen

OpenAI lanserade Atlas i oktober 2025 som en Chromium-baserad webbläsare med en inbyggd AI-agent som kunde surfa och genomföra uppgifter åt användaren . Zenitys demonstrationsangrepp följde i stora drag denna kedja :

1. Forskarna publicerade en länk till en nyhetsbrevsregistrering på X, tidigare Twitter. Sidan såg normal ut för en mänsklig besökare.
2. I sidans innehåll fanns dolda instruktioner skrivna på hebreiska. Enligt forskarna valdes språket eftersom säkerhetsklassificerare ofta är bättre tränade på engelska, samtidigt som den underliggande AI-modellen kunde förstå instruktionerna .
3. När Atlas ombads att registrera sig läste agenten det dolda innehållet och följde instruktionerna. Den öppnade den inloggade WhatsApp Web-sessionen och skickade samma spammeddelande till alla kontakter .

På så sätt kunde angreppet spridas vidare: om en annan Atlas-användare fick meddelandet och lät webbläsaren hantera länken kunde samma kedja upprepas .

Forskarna visade också att Atlas kunde manipuleras till att lägga till en leveransadress i ett inloggat Amazon-konto och placera varor i kundvagnen. I demonstrationen kunde Amazons AI-shoppingassistent Rufus därefter slutföra ett köp utan användarens vetskap eller samtycke .

Zenitys teknikchef Michael Bargury betonade att WhatsApp inte hade hackats. Appens end-to-end-kryptering kringgicks inte. Angreppet utnyttjade i stället hur AI-agenten fick använda webbläsaren och de inloggade tjänsterna .

Vad är PleaseFix?

PleaseFix är enligt Zenity namnet på en hel klass av zero-click-angrepp, alltså angrepp som kan utlösas utan att offret behöver klicka på en skadlig länk eller medvetet godkänna en farlig åtgärd . De testade produkterna var:

Angriparen behöver inte nödvändigtvis installera skadeprogram eller utnyttja en traditionell kodsårbarhet. Det kan räcka att placera en instruktion i material som agenten ändå förväntas läsa – exempelvis ett mejl, en webbsida, ett dokument eller en kalenderinbjudan .

Zenity kallar den centrala mekanismen ”intent collision”, ungefär ”avsiktskollision”. AI-agenten kan då blanda ihop användarens legitima uppgift med instruktioner från innehållet och behandla angriparens mål som om det vore en del av användarens egen avsikt .

Teknikerna bakom angreppen

• Dolda instruktioner på andra språk: Hebreiska, Unicode-förvrängning och annan text som kan passera ett säkerhetsfilter trots att huvudmodellen fortfarande tolkar kommandot .
• Avsiktskollision: Innehåll som får agenten att utföra en skadlig åtgärd samtidigt som kontrollsystemet bedömer den som harmlös eller förenlig med användarens uppgift .
• Vilseledning av sandlådan: Agenten använder behörigheter som normalt behövs för att vara användbar – tillgång till flikar, cookies och inloggade sessioner – men dessa behörigheter blir samtidigt angreppsytan .

Från WhatsApp-spam till lösenordsvalv

Zenitys resultat pekar på betydligt större risker än oönskade meddelanden. Forskarna visade angreppsvägar som kunde leda till:

• Stöld av lokala filer och data samt i vissa fall fjärrstyrning av offrets dator .
• Angrepp mot lösenordshanterare, bland annat 1Password, med möjlighet att stjäla inloggningsuppgifter från en redan autentiserad session .
• Obehöriga köp genom att agenten använder sparade adresser, inloggade shoppingkonton och tillgängliga betalningsflöden .
• Kontoövertaganden och kontroll över enheter, beroende på vilka behörigheter agenten har .

Den första offentliga delen av PleaseFix-granskningen kom i mars 2026. Då visade Zenity hur en manipulerad Google Calendar-inbjudan kunde få Perplexity Comet att läcka lokala filer och stjäla uppgifter från 1Password utan något klick från användaren .

Varför hjälpte inte Atlas säkerhetslager?

Bland de testade produkterna hade Atlas enligt Zenity flest säkerhetslager: en AI-baserad säkerhetsklassificerare, en begränsad exekveringsmiljö och bekräftelser från användaren vid känsliga åtgärder . Ändå kunde forskarna ta sig förbi samtliga delar .

1. Säkerhetsklassificeraren: Instruktionerna skrevs på hebreiska, ett språk som enligt forskarna hade svagare täckning i klassificerarens träningsdata. Modellen kunde förstå texten, medan säkerhetsfiltret inte markerade den som skadlig .
2. Sandlådan: Genom avsiktskollisionen uppfattade agenten nyhetsbrevsregistreringen som en legitim uppgift. Därför framstod efterföljande åtgärder i WhatsApp och Amazon som tillåtna steg i samma arbetsflöde .
3. Användarbekräftelser: Bekräftelserna utlöstes inte alltid, eftersom agenten bedömde åtgärderna som rutinmässiga snarare än känsliga. I automatiserade arbetsflöden kunde de också hanteras utan ett tydligt manuellt avbrott .

Det illustrerar den grundläggande svårigheten: en AI som ska kunna agera självständigt måste tolka både användarens instruktioner och allt innehåll på webben. Samma förmåga som gör agenten praktisk kan då användas för att få den att följa någon annans instruktioner.

OpenAI avvecklar Atlas – men säkerhetsfrågan kvarstår

OpenAI hade redan den 9 juli 2026 meddelat att Atlas skulle sluta fungera den 9 augusti, fyra dagar efter Black Hat-presentationen . Beslutet var alltså kommunicerat före konferensen. Atlas skulle avvecklas som fristående webbläsare, medan funktioner för agentiskt arbete skulle flyttas till ChatGPT-appen för datorer, Chrome-integrationen, ChatGPT Work och Codex .

OpenAI uppgav också att man hade lagt ut korrigeringar för de specifika problem som demonstrerades . Enligt företagets hjälpsida kunde Atlas efter den 9 augusti inte längre öppna eller stödja webbläsarbaserade funktioner och skulle inte få fortsatta säkerhetsuppdateringar .

Perplexity hade enligt uppgifterna åtgärdat Comet-problemen före den offentliga redovisningen i mars 2026 . Zenity presenterade den utökade kartläggningen på Black Hat efter att ha samarbetat med de berörda företagen genom samordnad ansvarsfull rapportering .

Forskarna vill se hårda säkerhetsgränser

Zenitys slutsats är att AI-baserade säkerhetsklassificerare inte räcker som enda försvar . Eftersom även säkerhetslagren bygger på AI-modeller kan de påverkas av språkbyte, förtäckt text och promptinjektion – samma typer av manipulation som gör själva angreppen möjliga .

Forskarna efterlyser därför deterministiska säkerhetsbarriärer: fasta regler på operativsystem- eller webbläsarnivå som inte kan förhandlas bort av en manipulerad modell . Exempel är:

• hårda tillståndsfrågor som agenten inte kan automatisera bort vid meddelanden, betalningar eller filåtkomst,
• hårdvarubaserad isolering mellan agentprocesser och användarens autentiseringsuppgifter,
• bekräftelse utanför agentens eget arbetsflöde – exempelvis med biometrik eller en fysisk säkerhetsnyckel – när ett konto ändras, ett meddelande skickas eller en ekonomisk transaktion startas.

Bargurys kärnbudskap var: ”Du kan inte lösa ett deterministiskt säkerhetsproblem med en probabilistisk AI-klassificerare.”

Ett arkitekturproblem snarare än en vanlig bugg

PleaseFix handlar därmed inte bara om en lista med enskilda korrigeringar. Det handlar om den grundläggande arkitekturen i agentiska webbläsare: innehåll som ska läsas kan samtidigt innehålla instruktioner, och agenten kan ha tillgång till användarens inloggade konton och lokala data .

Att alla fem testade plattformar hade angreppsvägar – även Atlas, som hade de mest omfattande skydden – visar enligt Zenity att branschen behöver säkerhetsgränser som inte kan kringgås genom att lura en AI-modell. Innan AI-agenter får bred tillgång till meddelanden, filer, lösenord och betalningar behöver de mest känsliga åtgärderna därför skyddas av regler som modellen inte själv kan tolka om eller stänga av .