AI 瀏覽器遭挾持成 WhatsApp 蠕蟲：Black Hat 2026 揭露「PleaseFix」零點擊漏洞全貌

這並非一個孤立的程式錯誤。這是先前未被記錄的漏洞家族「PleaseFix」最戲劇性的展示——這是一系列影響研究人員所測試的每一款商用代理型瀏覽器的零點擊漏洞 。

Atlas WhatsApp 蠕蟲是如何運作的？

Zenity 的概念驗證攻擊運用了三種技術，繞過了 OpenAI 的三層安全系統 ：

• 希伯來文指令：Atlas 的安全濾網主要以英文訓練，因此非英文指令得以逃過偵測 。
• 意圖碰撞：研究人員將合法的使用者指令（如「訂閱電子報」）與隱藏的惡意指令混合，使 AI 代理難以區分安全與不安全的操作 。
• 虛假的沙盒宣告：攻擊頁面告訴 Atlas，所有操作都在一個安全的測試環境中進行，進而欺騙了代理程式內部的安全自檢機制 。

相同的攻擊鏈也可以用來在 Amazon 上進行未經授權的購物，展示了更廣泛的帳戶接管能力 。WhatsApp 的端到端加密並未被破解——AI 代理只是在已驗證的使用者工作階段內執行操作 。

PleaseFix 漏洞家族

Zenity Labs 揭露了 PleaseFix 為一個影響所有他們測試過的主流商用代理型瀏覽器的零點擊漏洞家族 。這些缺陷在以下平台上都被展示出來：

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

總計，Zenity 在這些平台中發現了 20 個不同的缺陷 。核心問題在於架構設計：代理型瀏覽器被設計為自主讀取網頁內容、遵循指令並代表使用者執行操作——而這種自主性本身就是攻擊面 。攻擊者可以透過一般的內容和預期的操作來挾持 AI 代理，完全不需要惡意軟體、不需要利用漏洞，也不需要使用者點擊任何東西 。

已展示的攻擊結果包括 ：

• 無聲的資料竊取：竊取本地檔案和憑證，包括來自 1Password 等密碼管理器的資料 。
• 帳戶與裝置接管：完整的工作階段劫持，以及在執行瀏覽器的機器上執行遠端程式碼 。
• 社交帳戶劫持：從受害者的帳戶發文、傳送訊息給聯絡人，以及散佈釣魚連結。
• 未經授權的金錢操作：在 Amazon 及其他服務上進行購物。

業界回應

• OpenAI 在 Black Hat 2026 之前就已宣布停止開發 Atlas，該瀏覽器將於 2026 年 8 月 9 日正式關閉——也就是這些研究揭露後的幾天 。OpenAI 將 Atlas 的代理功能轉移到其更廣泛的 ChatGPT Work 和 Codex 平台，但安全問題也隨之轉移到這些新環境中 。
• 多家供應商 收到了 Zenity 的協調式揭露並發布了修補程式，但根本的架構性矛盾——賦予 AI 代理在網路上廣泛的自主權——仍然未獲解決 。

為何專家呼籲導入確定性安全屏障

安全研究人員認為，目前這種在高度自主的 AI 代理上疊加安全濾網和提示層級護欄的做法，在結構上是不足的 。Zenity 的研究顯示，每一款代理型瀏覽器都可以用相同的基本技術被入侵：將惡意內容餵給設計用來處理這些內容的 AI 代理 。

核心問題在於，機率性的 AI 安全濾網（用來猜測某個操作是否安全）無法可靠地阻止能夠設計出新奇輸入以繞過濾網的攻擊者。研究人員呼籲導入確定性安全屏障——對 AI 代理允許執行的事項設定強制性的硬性限制，無論它如何解讀指令 。範例包括：

• 對允許的操作設定硬編碼的白名單（例如：「永遠不從此瀏覽器發送訊息」）。
• 作業系統層級的權限邊界，無法被模型輸出所覆蓋。
• 對高風險操作（金融交易、發送訊息、存取憑證）設置真人介入的閘門。

在導入這類確定性控制之前，PleaseFix 這類漏洞顯示，代理型瀏覽器只需發布看起來普通的網頁內容，就可能被武器化來對付自己的使用者 。