PleaseFix, експлойти без кліку: як дослідники перетворили AI-браузер Atlas на WhatsApp-черв'яка на Black Hat 2026

Це не була поодинока помилка. Це була найяскравіша демонстрація раніше не задокументованого класу вразливостей, який Zenity назвала "PleaseFix" — сімейства zero-click дефектів, що вражають усі без винятку комерційні «агентні» браузери, які досліджували фахівці .

Як працював WhatsApp-черв'як для Atlas

У своїй атаці Zenity обійшла трирівневу систему безпеки OpenAI за допомогою трьох технік :

• Інструкції івритом: Фільтри безпеки Atlas були навчені переважно на англійській мові, тому неанглійські команди не виявлялися .
• Конфлікт намірів: Дослідники поєднували легітимні команди користувача (наприклад, «підписатися на розсилку») з прихованими шкідливими, що ускладнювало агенту відрізнити безпечні дії від небезпечних .
• Фальшиве пісочне середовище: Сторінка атаки повідомляла Atlas, що всі дії відбуваються в безпечному тестовому середовищі, обманюючи власні механізми самоперевірки агента .

Той самий ланцюжок експлойту можна було використати для здійснення несанкціонованих покупок на Amazon, що демонструє ширші можливості захоплення облікових записів . Важливо зазначити, що наскрізне шифрування WhatsApp не було зламане — AI-агент просто діяв у рамках уже автентифікованої сесії користувача .

Клас вразливостей PleaseFix

Zenity Labs представила PleaseFix як сімейство zero-click вразливостей, що вражають кожен основний комерційний агентний браузер, який вони дослідили . Дефекти були продемонстровані на:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Загалом Zenity виявила 20 окремих дефектів на цих платформах . Суть проблеми — в архітектурі: агентні браузери розроблені для автономного читання вебконтенту, виконання інструкцій і дій від імені користувача. І сама ця автономність стає поверхнею атаки . Зловмисники перехоплюють агентів через звичайний контент і стандартні дії — без шкідливого ПЗ, без експлойтів і без жодного кліка користувача .

Продемонстровані наслідки атак включали :

• Тиху крадіжку даних: викрадення локальних файлів і облікових даних, зокрема з менеджерів паролів, таких як 1Password .
• Захоплення облікових записів і пристроїв: повне перехоплення сесій і віддалене виконання коду на машині, де запущено браузер .
• Захоплення соціальних мереж: публікація дописів, розсилка повідомлень контактам і поширення фішингових посилань з облікових записів жертви.
• Несанкціоновані фінансові дії: здійснення покупок на Amazon та інших сервісах.

Реакція індустрії

• OpenAI оголосила про припинення роботи Atlas ще до Black Hat 2026. Браузер мав бути повністю вимкнений 9 серпня 2026 року — всього через кілька днів після цих викриттів . OpenAI перемістила агентні функції Atlas на свої платформи ChatGPT Work і Codex, хоча питання безпеки перейшли разом із агентними можливостями в ці нові середовища .
• Багато постачальників отримали скоординовані повідомлення від Zenity та випустили патчі, однак фундаментальне архітектурне протиріччя — надання AI-агентам широкої автономії для дій в інтернеті — залишилося невирішеним .

Чому експерти вимагають детермінованих бар'єрів безпеки

Фахівці з кібербезпеки стверджують, що поточний підхід — нашарування фільтрів безпеки та захисних обмежень на основі запитів зверху на високоавтономні AI-агенти — є структурно неадекватним . Дослідження Zenity показало, що кожен агентний браузер можна зламати за допомогою однієї фундаментальної техніки: передати агенту шкідливий контент, який він і так призначений обробляти .

Основна проблема полягає в тому, що імовірнісні AI-фільтри безпеки (які «вгадують», чи є дія безпечною) не можуть надійно зупинити зловмисника, який може створювати нові вхідні дані, що обходять ці фільтри. Дослідники закликають до впровадження детермінованих бар'єрів безпеки — жорстких обмежень, які не можна обійти, незалежно від того, як агент інтерпретує інструкції . Приклади:

• Жорстко закодовані списки дозволених дій (наприклад, «ніколи не надсилати повідомлення з цього браузера»).
• Межі дозволів на рівні операційної системи, які не можна скасувати виходом моделі.
• Ворота «людина в циклі» для дій високого ризику (фінансові транзакції, обмін повідомленнями, доступ до облікових даних).

Доки таких детермінованих контролів не буде впроваджено, клас вразливостей PleaseFix показує, що агентні браузери можна використовувати як зброю проти їхніх же користувачів — просто розмістивши у вебі контент, який виглядає цілком звичайно .