Як ШІ-браузери виявилися вразливими: атака PleaseFix перетворила Atlas на WhatsApp-хробака

Це була лише найефектніша частина ширшого дослідження. Zenity об’єднала виявлені проблеми під назвою PleaseFix — сімейством ланцюжків атак без явної дії користувача, які зачіпають п’ять провідних агентних браузерів і приблизно 20 окремих вразливостей .

Як Atlas міг розіслати спам усім контактам

ChatGPT Atlas — браузер на базі Chromium із вбудованим ШІ-агентом, який уміє переглядати сайти та виконувати завдання від імені користувача. OpenAI запустила його у жовтні 2025 року . У демонстрації Zenity ланцюжок атаки виглядав так :

1. Дослідники розмістили в X, колишньому Twitter, посилання на сторінку підписки на розсилку. Для людини сторінка виглядала цілком звичайною.
2. У її вмісті були заховані шкідливі інструкції, написані івритом. Це мало обійти класифікатор безпеки OpenAI, орієнтований переважно на англомовні приклади, хоча основна модель Atlas могла зрозуміти команду .
3. Коли Atlas обробляв сторінку в межах легітимного завдання, агент потай відкривав уже авторизовану сесію WhatsApp Web і надсилав заздалегідь підготовлене повідомлення всім контактам користувача .

Якщо отримувач такого повідомлення також користувався Atlas і просив агента обробити посилання, ланцюжок міг повторитися. Саме тому дослідники описали демонстрацію як самопоширюваного WhatsApp-хробака.

Важливо, що проблема не полягала у зламі WhatsApp. Наскрізне шифрування сервісу не обходили — вразливість була пов’язана з тим, як ШІ-браузер читає контент і виконує дії в авторизованих сесіях .

Atlas також вдалося змусити додати адресу доставки до вже авторизованого облікового запису Amazon, покласти товари в кошик і передати їх на оформлення помічнику Amazon Rufus. Усе це відбувалося без відома чи згоди користувача .

Що таке PleaseFix

PleaseFix — це не одна помилка в конкретному продукті, а клас атак, що використовує фундаментальну властивість агентних браузерів. Такі браузери не просто показують вебсторінки: вони читають листи, документи, запрошення до календаря та публікації, а потім можуть виконувати інструкції з цього вмісту.

Проблема виникає тоді, коли агент не відрізняє справжню команду користувача від інструкції, захованої в матеріалі, який він переглядає. Зловмиснику не обов’язково потрібні шкідливе програмне забезпечення, класичний експлойт або переконливий фішинговий діалог. Достатньо підготувати контент, який агент обробить під час звичайної роботи .

Під час дослідження вразливості виявили у таких продуктах:

Zenity називає основний механізм «зіткненням намірів» (intent collision). Агент змішує законне прохання користувача зі шкідливими інструкціями в прочитаному контенті — і сприймає дії зловмисника як частину початкового завдання .

Які прийоми продемонстрували дослідники

• Інструкції іншими мовами. Іврит, Unicode-обфускація та інші способи подання тексту можуть ускладнити роботу фільтра безпеки, тоді як сама мовна модель усе ще здатна зрозуміти команду .
• Зіткнення намірів. Шкідлива інструкція подається як нібито логічне продовження дії, яку користувач справді попросив виконати .
• Обман пісочниці. Агент сприймає небезпечну послідовність як дозволену частину легітимного завдання. У результаті його штатні права — доступ до вкладок, локальних файлів, cookie та авторизованих сесій — стають поверхнею атаки .

Наскільки серйозні наслідки

За даними Zenity, ланцюжки PleaseFix могли вести до наслідків, значно ширших за спам у месенджері :

• Доступу до локального комп’ютера. Дослідники продемонстрували сценарії прихованого викрадення даних і віддаленого керування пристроєм .
• Компрометації менеджерів паролів. Серед потенційних цілей були сховища на кшталт 1Password, доступні в межах уже авторизованої сесії .
• Несанкціонованих покупок. Агент міг додати адресу, товари чи інші дані до облікового запису та завершити оформлення замовлення .
• Захоплення облікових записів і пристроїв. Повні ланцюжки атак демонстрували шляхи до викрадення облікових записів і дистанційного контролю над пристроями .

Першу публічну частину дослідження Zenity представила ще в березні 2026 року. Тоді шкідливе запрошення до Google Calendar могло змусити Perplexity Comet викрасти локальні файли та облікові дані 1Password — без кліку з боку користувача .

Чому не спрацював навіть найзахищеніший Atlas

Серед протестованих продуктів Atlas мав найбільше рівнів захисту: ШІ-класифікатор безпеки, обмежене середовище виконання та запити на підтвердження за участю користувача для чутливих операцій . Однак дослідникам вдалося обійти всі три механізми .

1. Класифікатор безпеки не розпізнав інструкції івритом як шкідливі, хоча мовна модель їх зрозуміла .
2. Пісочниця сприйняла подальші дії як продовження легітимної підписки на розсилку. Через це звернення до WhatsApp та Amazon виглядали для системи дозволеними .
3. Підтвердження користувача не завжди з’являлося: агент міг класифікувати дії як рутинні або виконувати їх у межах автоматизованого сценарію .

Цей приклад показує головну проблему: модель, яка має визначати, чи є команда безпечною, сама працює з неоднозначним і потенційно ворожим текстом. Зміна мови або контексту може змусити різні компоненти системи зробити несумісні висновки.

Реакція компаній і завершення роботи Atlas

До моменту презентації на Black Hat OpenAI вже оголосила, що Atlas припинить роботу 9 серпня 2026 року. Про це компанія повідомила 9 липня — приблизно за місяць до запланованого завершення роботи браузера .

OpenAI вирішила відмовитися від Atlas як окремого браузера та перенести агентні можливості для роботи з браузером у десктопний ChatGPT, інтеграцію з Chrome, ChatGPT Work і Codex . На сторінці підтримки компанія зазначила, що після 9 серпня Atlas може більше не відкриватися, не переглядати вебсторінки й не підтримувати браузерні функції, а також не отримуватиме оновлень безпеки . OpenAI окремо повідомила про виправлення конкретних проблем, продемонстрованих дослідниками .

Perplexity, зі свого боку, випустила виправлення для вразливостей Comet до публічного розкриття результатів у березні 2026 року . Розширене дослідження п’яти платформ Zenity представила після роботи з компаніями в межах скоординованого відповідального розкриття .

Чому дослідники вимагають не лише нових ШІ-фільтрів

На думку Zenity, самих ШІ-класифікаторів недостатньо для захисту агентних браузерів . Оскільки такі класифікатори теж є моделями, їх можна намагатися обійти за допомогою іншої мови, спеціально сформованого контексту або prompt injection — атаки через приховані інструкції .

Дослідники закликають запровадити детерміновані бар’єри безпеки — жорсткі правила на рівні операційної системи чи архітектури браузера, які модель не може скасувати власним трактуванням команди . Серед можливих заходів:

• незмінювані запити дозволу для надсилання повідомлень, платежів і доступу до файлів;
• ізоляція процесів агента від облікових даних користувача на апаратному рівні;
• підтвердження поза межами агента — наприклад, біометрією або апаратним ключем — для зміни облікових записів, надсилання повідомлень і фінансових операцій.

«Ви не можете розв’язати детерміновану проблему безпеки за допомогою ймовірнісного ШІ-класифікатора», — так сформулював головний висновок технічний директор Zenity Майкл Барґурі .

Головний висновок

PleaseFix — це не просто список помилок, які можна закрити черговим патчем. Дослідження вказує на структурну проблему самої моделі агентних браузерів: вони довіряють контенту, який читають, і мають достатні права, щоб діяти в авторизованих сесіях .

Уразливими виявилися всі п’ять протестованих платформ. Навіть Atlas із найскладнішою системою захисту не зміг надійно відрізнити намір користувача від команди, захованої у вебсторінці. Тому безпечне масштабування агентного ШІ вимагатиме не лише кращих моделей, а й правил, які модель фізично не зможе обійти .