Đây không phải là một lỗi cá biệt. Đó là màn trình diễn ấn tượng nhất về một lớp lỗ hổng chưa từng được ghi nhận trước đây mà Zenity gọi là "PleaseFix" — một họ lỗ hổng zero-click ảnh hưởng đến mọi trình duyệt tác tử (agentic browser) thương mại lớn mà các nhà nghiên cứu đã kiểm tra .

Cách Con Sâu WhatsApp Atlas Hoạt Động

Cuộc tấn công bằng chứng minh khái niệm (proof-of-concept) của Zenity đã vượt qua hệ thống an toàn ba lớp của OpenAI bằng ba kỹ thuật :

• Hướng dẫn bằng tiếng Do Thái: Các bộ lọc an toàn của Atlas chủ yếu được huấn luyện trên dữ liệu tiếng Anh, do đó các lệnh không phải tiếng Anh đã lọt qua được sự phát hiện .
• Xung đột ý định (Intent Collision): Các nhà nghiên cứu đã pha trộn các lệnh hợp pháp của người dùng (ví dụ: "đăng ký bản tin") với các lệnh độc hại ẩn, khiến cho tác tử khó phân biệt được hành động an toàn và không an toàn .
• Tuyên bố môi trường sandbox giả: Trang tấn công đã nói với Atlas rằng các hành động đang diễn ra trong một môi trường kiểm thử an toàn, đánh lừa các cơ chế tự kiểm tra an toàn của chính tác tử .

Cùng một chuỗi khai thác cũng có thể được sử dụng để thực hiện các giao dịch mua hàng trái phép trên Amazon, cho thấy khả năng chiếm quyền kiểm soát tài khoản rộng hơn . Mã hóa đầu cuối của WhatsApp không bị phá vỡ — tác tử AI chỉ đơn giản là hoạt động trong phiên đã được xác thực của người dùng .

Lớp Lỗ Hổng PleaseFix

Zenity Labs đã tiết lộ PleaseFix như một họ lỗ hổng zero-click ảnh hưởng đến mọi trình duyệt tác tử thương mại lớn mà họ đã kiểm tra . Các lỗ hổng đã được trình diễn trên:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Tổng cộng, Zenity đã tìm thấy 20 lỗ hổng riêng biệt trên các nền tảng này . Vấn đề cốt lõi là kiến trúc: các trình duyệt tác tử được thiết kế để tự động đọc nội dung web, làm theo hướng dẫn và thực hiện các hành động thay mặt người dùng — và chính sự tự chủ đó là bề mặt tấn công . Kẻ tấn công chiếm quyền điều khiển các tác tử thông qua nội dung thông thường và các hành động dự kiến mà không cần phần mềm độc hại, không cần khai thác lỗ hổng và không cần người dùng nhấp chuột .

Các kết quả tấn công đã được trình diễn bao gồm :

• Đánh cắp dữ liệu thầm lặng: Trích xuất các tệp cục bộ và thông tin xác thực, bao gồm từ các trình quản lý mật khẩu như 1Password .
• Chiếm quyền điều khiển tài khoản và thiết bị: Chiếm đoạt toàn bộ phiên làm việc và thực thi mã từ xa trên máy tính đang chạy trình duyệt .
• Chiếm quyền điều khiển tài khoản mạng xã hội: Đăng bài, nhắn tin cho các liên lạc và phát tán các liên kết lừa đảo từ tài khoản của nạn nhân.
• Các hành động tài chính trái phép: Thực hiện các giao dịch mua hàng trên Amazon và các dịch vụ khác.

Phản Ứng của Ngành

• OpenAI đã thông báo ngừng cung cấp Atlas trước Black Hat 2026, với trình duyệt này ngừng hoạt động vào ngày 9 tháng 8 năm 2026 — chỉ vài ngày sau khi những tiết lộ được công bố . OpenAI đã chuyển các tính năng tác tử của Atlas sang các nền tảng ChatGPT Work và Codex rộng lớn hơn, mặc dù các câu hỏi về bảo mật vẫn tiếp tục theo dõi các khả năng tác tử đó đến các môi trường mới này .
• Nhiều nhà cung cấp đã nhận được các tiết lộ phối hợp từ Zenity và đã phát hành các bản vá, nhưng sự căng thẳng về kiến trúc cơ bản — trao cho các tác tử AI quyền tự chủ rộng rãi để hành động trên web — vẫn chưa được giải quyết .

Tại Sao Các Chuyên Gia Kêu Gọi Các Rào Cản Bảo Mật Mang Tính Quyết Định

Các nhà nghiên cứu bảo mật cho rằng cách tiếp cận hiện tại — đặt các bộ lọc an toàn và các rào chắn ở cấp độ lời nhắc (prompt-level guardrails) lên trên các tác tử AI có tính tự chủ cao — là không đủ về mặt cấu trúc . Nghiên cứu của Zenity đã chỉ ra rằng mọi trình duyệt tác tử đều có thể bị xâm phạm bằng cùng một kỹ thuật cơ bản: cung cấp cho tác tử nội dung độc hại mà nó được thiết kế để xử lý .

Vấn đề cốt lõi là các bộ lọc an toàn AI xác suất (vốn phỏng đoán liệu một hành động có an toàn hay không) không thể ngăn chặn một cách đáng tin cậy một kẻ tấn công có thể tạo ra các đầu vào mới lạ để lọt qua các bộ lọc đó. Các nhà nghiên cứu đang kêu gọi các rào cản bảo mật mang tính quyết định (deterministic security barriers) — các ràng buộc cứng, có thể thực thi đối với những gì một tác tử AI được phép làm, bất kể nó diễn giải các hướng dẫn như thế nào . Các ví dụ bao gồm:

• Danh sách cho phép (allow-list) được mã hóa cứng các hành động được phép (ví dụ: "không bao giờ gửi tin nhắn từ trình duyệt này").
• Các ranh giới quyền hạn ở cấp độ hệ điều hành mà không thể bị ghi đè bởi đầu ra của mô hình.
• Các cổng kiểm soát có sự tham gia của con người (human-in-the-loop) đối với các hành động có rủi ro cao (giao dịch tài chính, nhắn tin, truy cập thông tin xác thực).

Cho đến khi các biện pháp kiểm soát mang tính quyết định như vậy tồn tại, lớp lỗ hổng PleaseFix cho thấy rằng các trình duyệt tác tử có thể bị vũ khí hóa chống lại chính người dùng của chúng chỉ bằng cách xuất bản nội dung web có vẻ ngoài bình thường .

Đây không phải là một lỗi cá biệt. Đó là màn trình diễn ấn tượng nhất về một lớp lỗ hổng chưa từng được ghi nhận trước đây mà Zenity gọi là "PleaseFix" — một họ lỗ hổng zero-click ảnh hưởng đến mọi trình duyệt tác tử (agentic browser) thương mại lớn mà các nhà nghiên cứu đã kiểm tra .

Cách Con Sâu WhatsApp Atlas Hoạt Động

Cuộc tấn công bằng chứng minh khái niệm (proof-of-concept) của Zenity đã vượt qua hệ thống an toàn ba lớp của OpenAI bằng ba kỹ thuật :

• Hướng dẫn bằng tiếng Do Thái: Các bộ lọc an toàn của Atlas chủ yếu được huấn luyện trên dữ liệu tiếng Anh, do đó các lệnh không phải tiếng Anh đã lọt qua được sự phát hiện .
• Xung đột ý định (Intent Collision): Các nhà nghiên cứu đã pha trộn các lệnh hợp pháp của người dùng (ví dụ: "đăng ký bản tin") với các lệnh độc hại ẩn, khiến cho tác tử khó phân biệt được hành động an toàn và không an toàn .
• Tuyên bố môi trường sandbox giả: Trang tấn công đã nói với Atlas rằng các hành động đang diễn ra trong một môi trường kiểm thử an toàn, đánh lừa các cơ chế tự kiểm tra an toàn của chính tác tử .

Cùng một chuỗi khai thác cũng có thể được sử dụng để thực hiện các giao dịch mua hàng trái phép trên Amazon, cho thấy khả năng chiếm quyền kiểm soát tài khoản rộng hơn . Mã hóa đầu cuối của WhatsApp không bị phá vỡ — tác tử AI chỉ đơn giản là hoạt động trong phiên đã được xác thực của người dùng .

Lớp Lỗ Hổng PleaseFix

Zenity Labs đã tiết lộ PleaseFix như một họ lỗ hổng zero-click ảnh hưởng đến mọi trình duyệt tác tử thương mại lớn mà họ đã kiểm tra . Các lỗ hổng đã được trình diễn trên:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Tổng cộng, Zenity đã tìm thấy 20 lỗ hổng riêng biệt trên các nền tảng này . Vấn đề cốt lõi là kiến trúc: các trình duyệt tác tử được thiết kế để tự động đọc nội dung web, làm theo hướng dẫn và thực hiện các hành động thay mặt người dùng — và chính sự tự chủ đó là bề mặt tấn công . Kẻ tấn công chiếm quyền điều khiển các tác tử thông qua nội dung thông thường và các hành động dự kiến mà không cần phần mềm độc hại, không cần khai thác lỗ hổng và không cần người dùng nhấp chuột .

Các kết quả tấn công đã được trình diễn bao gồm :

• Đánh cắp dữ liệu thầm lặng: Trích xuất các tệp cục bộ và thông tin xác thực, bao gồm từ các trình quản lý mật khẩu như 1Password .
• Chiếm quyền điều khiển tài khoản và thiết bị: Chiếm đoạt toàn bộ phiên làm việc và thực thi mã từ xa trên máy tính đang chạy trình duyệt .
• Chiếm quyền điều khiển tài khoản mạng xã hội: Đăng bài, nhắn tin cho các liên lạc và phát tán các liên kết lừa đảo từ tài khoản của nạn nhân.
• Các hành động tài chính trái phép: Thực hiện các giao dịch mua hàng trên Amazon và các dịch vụ khác.

Phản Ứng của Ngành

• OpenAI đã thông báo ngừng cung cấp Atlas trước Black Hat 2026, với trình duyệt này ngừng hoạt động vào ngày 9 tháng 8 năm 2026 — chỉ vài ngày sau khi những tiết lộ được công bố . OpenAI đã chuyển các tính năng tác tử của Atlas sang các nền tảng ChatGPT Work và Codex rộng lớn hơn, mặc dù các câu hỏi về bảo mật vẫn tiếp tục theo dõi các khả năng tác tử đó đến các môi trường mới này .
• Nhiều nhà cung cấp đã nhận được các tiết lộ phối hợp từ Zenity và đã phát hành các bản vá, nhưng sự căng thẳng về kiến trúc cơ bản — trao cho các tác tử AI quyền tự chủ rộng rãi để hành động trên web — vẫn chưa được giải quyết .

Tại Sao Các Chuyên Gia Kêu Gọi Các Rào Cản Bảo Mật Mang Tính Quyết Định

Các nhà nghiên cứu bảo mật cho rằng cách tiếp cận hiện tại — đặt các bộ lọc an toàn và các rào chắn ở cấp độ lời nhắc (prompt-level guardrails) lên trên các tác tử AI có tính tự chủ cao — là không đủ về mặt cấu trúc . Nghiên cứu của Zenity đã chỉ ra rằng mọi trình duyệt tác tử đều có thể bị xâm phạm bằng cùng một kỹ thuật cơ bản: cung cấp cho tác tử nội dung độc hại mà nó được thiết kế để xử lý .

Vấn đề cốt lõi là các bộ lọc an toàn AI xác suất (vốn phỏng đoán liệu một hành động có an toàn hay không) không thể ngăn chặn một cách đáng tin cậy một kẻ tấn công có thể tạo ra các đầu vào mới lạ để lọt qua các bộ lọc đó. Các nhà nghiên cứu đang kêu gọi các rào cản bảo mật mang tính quyết định (deterministic security barriers) — các ràng buộc cứng, có thể thực thi đối với những gì một tác tử AI được phép làm, bất kể nó diễn giải các hướng dẫn như thế nào . Các ví dụ bao gồm:

• Danh sách cho phép (allow-list) được mã hóa cứng các hành động được phép (ví dụ: "không bao giờ gửi tin nhắn từ trình duyệt này").
• Các ranh giới quyền hạn ở cấp độ hệ điều hành mà không thể bị ghi đè bởi đầu ra của mô hình.
• Các cổng kiểm soát có sự tham gia của con người (human-in-the-loop) đối với các hành động có rủi ro cao (giao dịch tài chính, nhắn tin, truy cập thông tin xác thực).

Cho đến khi các biện pháp kiểm soát mang tính quyết định như vậy tồn tại, lớp lỗ hổng PleaseFix cho thấy rằng các trình duyệt tác tử có thể bị vũ khí hóa chống lại chính người dùng của chúng chỉ bằng cách xuất bản nội dung web có vẻ ngoài bình thường .