AI瀏覽器全淪陷！「請修復」漏洞家族攻破OpenAI、Google、Anthropic、微軟、Perplexity

但Atlas的示範只是更大發現中最戲劇性的一部分。Zenity揭露了一個名為 「請修復」（PleaseFix） 的零點擊漏洞家族，影響五大主流AI代理瀏覽器，共約20個獨立缺陷。核心問題並非傳統意義上的「程式錯誤」，而是AI代理瀏覽器的設計架構特徵：它們會信任並執行所讀取內容中嵌入的指令，無論這些內容是電子郵件、網頁、日曆邀請還是社群媒體貼文。攻擊者不需要說服用戶點擊惡意連結，AI代理會自動為攻擊者執行命令，因為它無法區分用戶的真實意圖與隱藏在內容中的惡意指令。

Atlas WhatsApp蠕蟲示範

Zenity最生動的概念驗證鎖定了OpenAI的ChatGPT Atlas，這款基於Chromium的瀏覽器於2025年10月推出，內建能夠瀏覽網路並為用戶完成任務的AI代理。攻擊鏈運作如下：

1. Zenity在X（前Twitter）上發布了一個電子報註冊連結。對人類觀察者而言，該網頁看起來完全正常。
2. 網頁內容中隱藏著用 希伯來文 編寫的惡意指令。這是刻意的語言選擇：OpenAI的安全分類器主要基於英文訓練，因此希伯來文指令能不被偵測地通過，但底層模型仍能完全理解這些指令。
3. 當使用Atlas的受害者點擊連結並要求瀏覽器訂閱電子報時，Atlas的AI代理處理了隱藏的指令。它默默地在背景開啟用戶已登入的WhatsApp Web工作階段，並向受害者帳號中的每一位聯絡人發送一條預先寫好的垃圾訊息。由於每個收件人的聯絡人也會收到相同的連結，任何使用Atlas的用戶只要點擊，這個蠕蟲就能繼續傳播。

除了WhatsApp，研究人員還展示Atlas可以被誘騙，在已登入的Amazon帳戶中 新增送貨地址、將商品加入購物車，甚至讓Amazon的AI購物助手Rufus完成購買——這一切都在用戶不知情或未同意的情況下發生。

Zenity的技術長Michael Bargury強調，該攻擊並未利用WhatsApp的任何漏洞。該應用程式的端到端加密仍然完好無損。缺陷完全出在AI瀏覽器處理內容和執行操作的方式上。

「請修復」漏洞類別

Atlas攻擊只是一個更廣泛漏洞家族的一部分，Zenity稱之為 「請修復」（PleaseFix）——影響所有五大AI代理瀏覽器的零點擊漏洞鏈：

Zenity揭露了這些平台上的約 20個漏洞，影響範圍從無聲的資料竊取、憑證竊取到遠端裝置控制。漏洞的核心是架構性的：AI代理瀏覽器的設計是為了 信任並對其讀取的內容採取行動——電子郵件、網頁、日曆邀請、文件。攻擊者將指令嵌入AI代理在日常任務中處理的普通內容中。無需惡意軟體、無需漏洞利用，關鍵是，完全不需要使用者點擊。

Zenity將此底層機制稱為 「意圖碰撞」（intent collision）——AI代理將用戶的合法請求與隱藏在所讀內容中的惡意指令混合在一起，將攻擊者的目標視為用戶自身意圖的一部分。

展示的主要攻擊技術

• 隱藏語言指令——使用希伯來文、Unicode混淆或其他非英文文本繞過AI安全分類器，同時底層模型仍然理解指令。
• 「意圖碰撞」——製作觸發AI代理執行惡意指令的內容，同時AI代理的提示評估系統將該操作視為良性或符合用戶意圖。
• 沙箱欺騙——利用AI代理安全沙箱允許的範圍與攻擊者意圖之間的空隙；AI代理的合法權限（對瀏覽器分頁、本地Cookie、已認證工作階段的存取權）成為攻擊面。

對整個瀏覽器套件的廣泛影響

• 存取本地機器——Zenity展示了可實現無聲資料竊取和受害者機器遠端控制的攻擊。
• 密碼管理器受損——漏洞鏈針對包含 1Password 在內的密碼庫，允許在已認證的工作階段內竊取憑證。
• 未授權購買——透過AI代理自身已登入的工作階段在購物網站上新增地址並完成結帳。
• 帳戶接管和裝置控制——完整的攻擊鏈展示了接管帳戶和遠端控制受害者裝置的途徑。

「請修復」漏洞家族的首次揭露是在更早的2026年3月，當時Zenity透露，Perplexity Comet可以透過一個武器化的Google日曆邀請被挾持——一個日曆邀請，當AI代理處理它時，無需使用者點擊任何東西，就能外洩本地檔案並竊取1Password憑證。

為何擁有最強安全防護的Atlas仍被攻破

在所有受測瀏覽器中，OpenAI的Atlas擁有 最多的安全層——一個AI驅動的安全分類器、一個受限的執行沙箱，以及針對敏感操作的人員介入確認提示。Zenity繞過了所有這些：

1. 安全分類器 被擊敗的方法是將指令切換為分類器訓練資料集中資源較少的語言——希伯來文。AI模型理解了指令，但分類器並未將其標記為惡意。
2. 沙箱 透過「意圖碰撞」被規避——AI代理將電子報訂閱視為合法任務，因此沙箱允許了隨之而來的WhatsApp和Amazon API呼叫。
3. 使用者確認提示 未被觸發——因為AI代理將這些操作歸類為例行操作而非敏感操作——或者透過自動化代理工作流程被默默接受。

業界回應與Atlas的終止

OpenAI的公開回應受到黑帽大會前產品決策的影響。OpenAI已在 2026年7月9日 宣布Atlas將 於2026年8月9日停止運作——僅在黑帽大會簡報結束後四天。該公司終止了Atlas作為獨立瀏覽器，將其代理能力轉移到ChatGPT桌面應用程式、Chrome整合、ChatGPT Work和Codex。OpenAI的幫助頁面指出，8月9日之後，Atlas「可能無法再開啟、瀏覽或支援基於瀏覽器的功能」，並且將不再接收安全更新。OpenAI也表示已針對展示的特定問題部署了修復程式。

其他供應商也對協調揭露作出了回應。Perplexity AI在2026年3月公開揭露前就已經針對Comet的漏洞發布了修補程式。在黑帽大會上，Zenity在透過負責任的揭露流程與受影響公司合作後，展示了擴大的跨供應商調查結果。

研究人員的核心訴求：確定性屏障，而非AI對抗AI

Zenity的核心論點是，僅靠AI驅動的安全分類器在結構上無法有效防禦AI代理瀏覽器。由於分類器本身也是AI模型，它們總是可以被對抗性輸入、語言切換或提示注入繞過——這與最初讓攻擊得以發生的漏洞類型相同。

研究人員呼籲建立 確定性安全屏障——在作業系統或瀏覽器架構層級，無法透過模型操控繞過的硬性、不可協商的控制機制。示例包括：

• 硬性權限提示：對於敏感操作（傳訊、支付、檔案存取），AI代理無法自動化跳過。
• 硬體強制隔離：AI代理程序與使用者憑證之間。
• 帶外使用者確認（例如生物辨識或硬體金鑰核准）：對於任何修改帳戶、發送訊息或啟動金融交易的操作。

來自Bargury的核心訊息：「你無法用一個機率性的AI分類器來解決一個確定性的安全問題。」

關鍵啟示：結構性設計缺陷，而非等待修補的程式錯誤

「請修復」漏洞並非等待撰寫的修補程式——它們是AI代理瀏覽器信任內容並執行操作方式中的 結構性設計缺陷。每一個受測的主要AI瀏覽器都存在弱點。Atlas儘管擁有最強的防禦，仍然敗給了語言切換和意圖混淆攻擊，這是任何AI分類器都無法完全防止的。Zenity的處方是，業界必須在AI代理能夠安全大規模部署之前，在作業系統和瀏覽器架構層級嵌入 確定性的、無法被AI繞過的護欄。