Edge блокира 53% от атаките, Chrome — 47%, ChatGPT Atlas — 5,8%. OpenAI създаде най-незащитения браузър

Зловредната команда ще остане активна, докато сами не я откриете и не я изтриете.

Нова уязвимост в експерименталния браузър ChatGPT Atlas, създаден от OpenAI, позволява на злоумишлениците незабележимо да внедряват злонамерени команди в паметта на изкуствения интелект и да изпълняват произволен код от името на жертвата. За това предупреди екипът на LayerX, специализиращ в сигурността на браузърите. В доклада е описан метод, при който злонамерената инструкция се внедрява не в сесията на браузъра, а в дългосрочната памет на самия AI-асистент — механизъм, представен за първи път през февруари 2024 г. и предназначен за съхранение на личните предпочитания на потребителя между чатовете.

Атаката започва със социално инженерство: потребител, който вече е авторизиран в ChatGPT, преминава по специално изготвен линк. Заредената страница инициира CSRF-заявка, като се възползва от факта, че сесията е активна, и запазва скрита инструкция в паметта на ChatGPT. След това всяко следващо запитване към асистента може да предизвика изпълнение на злонамерен код, включително действия за повишаване на привилегиите, зареждане на външни скриптове или прехвърляне на данни. Заразената памет се запазва между сесиите и устройствата, включително различните браузъри, докато потребителят ръчно не изтрие съответния запис в настройките.

Разработчиците на LayerX отделно подчертават, че атаката не засяга директно браузърната сесия, а използва особеността на самата памет на ChatGPT, превръщайки една полезна функция в дългосрочен канал за внедряване на команди. Според ръководителя на изследователския отдел на компанията, при успешна подмяна на спомените обичайните заявки на потребителя могат да задействат незабележимо изпълнение на злонамерени операции, без да събудят подозрения и да заобиколят защитните механизми.

Проблемът се усложнява от факта, че Atlas от самото начало е слабо защитен от фишинга. Atlas се справя само с 5,8% от атаките, докато Edge спира 53%, Chrome – 47%, а по-нишовият Perplexity Comet – около 7% от атаките. Толкова ниският показател прави Atlas особено уязвим в корпоративната среда, където AI агентите все по-често се превръщат във вектор за изтичане на данни.

По-рано компанията NeuralTrust вече демонстрира друг начин за хакване на Atlas чрез подмяна на URL адреса в адресната лента. Това позволи да се измами изкуствения интелект и да се внедри злонамерена команда, маскирана като безопасен адрес. Според LayerX, подобен тип атаки се превръщат в нов тип верига на доставки в света на ИИ – инструкциите, внедрени веднъж, се преместват заедно с потребителя и оказват влияние върху бъдещите работни процеси.

В условията, когато браузърите с ИИ-функции все по-плътно се интегрират в инфраструктурата и стават част от ежедневната работа, специалистите призовават те да се разглеждат като критично важен елемент на сигурността — наред с традиционните корпоративни системи. В противен случай границата между полезна автоматизация и скрито външно управление може да бъде окончателно размита.