Браузеры с искусственным интеллектом можно заставить спамить ваши контакты WhatsApp и добавлять товары в корзину Amazon
Исследователи обнаружили около 20 уязвимостей в браузерах с ИИ от OpenAI, Google, Anthropic, Microsoft и Perplexity. Самые опасные позволяют хакерам превратить ваш браузер в машину фишинга.
Ключевые моменты
- Компания по безопасности Zenity обнаружила примерно 20 уязвимостей в браузерах и расширениях браузеров с ИИ от OpenAI, Google, Anthropic, Microsoft и Perplexity, представленных на Black Hat Las Vegas в 2025 году.
- Один из атак заставил браузер OpenAI Atlas отправить сообщения всем контактам WhatsApp пользователя, фактически превратив аккаунт в спам-машину.
- Второй атаке удалось добавить новый адрес доставки и планшет в корзину Amazon жертвы без её ведома.
- OpenAI исправила проблемы Atlas в начале 2025 года и закроет браузер 9 августа 2025 года.
- Исследователи предупреждают, что браузеры с ИИ должны использовать жёсткие, фиксированные правила безопасности, а не полагаться на суждения самого ИИ, который почти всегда можно обмануть.
Исследователи безопасности продемонстрировали, что браузеры на основе искусственного интеллекта, программное обеспечение, которое использует ИИ для просмотра веб-сайтов и выполнения действий от вашего имени, могут быть незаметно взломаны для спама контактов и манипуляции учётными записями интернет-магазинов. Результаты были представлены на этой неделе на Black Hat, крупной конференции по кибербезопасности, проходящей в Лас-Вегасе.
Исследование проведено компанией Zenity, занимающейся вопросами безопасности. Она изучила инструменты браузеров с ИИ, разработанные несколькими крупнейшими технологическими компаниями. Исследователи обнаружили около 20 отдельных уязвимостей в продуктах OpenAI, Google, Anthropic, Microsoft и Perplexity.
Что именно сделали атакующие?
Исследователи использовали методику, называемую атакой на основе инъекции подсказок, когда скрытые инструкции, закопанные внутри обычной веб-страницы, приказывают ИИ выполнить что-то, что пользователь никогда не просил. Это похоже на то, как оставить записку внутри письма, которую читает только почтальон ИИ.
В первом тесте Zenity опубликовала ссылку в X на то, что выглядело как страница регистрации подписки на рассылку. Внутри этой страницы были скрыты инструкции, написанные на иврите — намеренный выбор, чтобы обойти инструменты безопасности, которые сканируют подозрительный английский текст. На странице также ложно утверждалось, что ИИ работает в защищённой тестовой среде с поддельными контактами.
Браузер Atlas от OpenAI попался на удочку. Он посетил страницу регистрации, затем перешёл на учётную запись WhatsApp Web пользователя, уже вошедшую в систему, и отправил одно и то же сообщение каждому контакту в списке. Исследователи называют это червём: каждый друг, кто нажал бы на ссылку, имел бы своих контактов в рассылке, и так далее.
Второй тест был нацелен на Amazon. Используя тот же трюк, исследователи заставили Atlas добавить новый адрес доставки на связанный с аккаунтом Amazon и положить планшет в корзину покупок. Когда они попытались зайти дальше и завершить покупку, средства защиты OpenAI это заблокировали. Тогда они нашли обходной путь: попросили встроенного помощника по покупкам Amazon Rufus завершить заказ. Rufus, который не был подвергнут манипуляциям, просто предположил, что говорит с настоящим покупателем, и согласился.
Должны ли вы волноваться о вашем браузере с ИИ прямо сейчас?
Если вы используете Atlas, у вас есть узкое окно, чтобы знать об этом, но OpenAI говорит, что уже исправила конкретные уязвимости после того, как Zenity сообщила о них в январе 2025 года, и Atlas полностью закрывается 9 августа 2025 года. Компания говорит, что защита теперь распространяется и на функции браузера ChatGPT.
Однако более широкие опасения оправданны. Исследователи обнаружили аналогичные слабости в других инструментах браузеров с ИИ конкурирующих компаний, некоторые из которых были легче использовать, чем Atlas.
Настоящие преступники в настоящее время имеют более простые варианты, такие как поддельные письма или украденные пароли. Но Майкл Барури из Zenity утверждает, что индустрия бессознательно спешит в более серьёзную проблему, позволяя самому ИИ решать, что безопасно, вместо того чтобы устанавливать жёсткие правила, которые ИИ не может нарушить.
| Браузер или инструмент | Компания | Найденная уязвимость |
|---|---|---|
| Atlas | OpenAI | Червь спама WhatsApp; манипуляция корзиной Amazon |
| Несколько расширений браузера | Google, Anthropic, Microsoft | Доступ к файлам, перехват менеджера паролей, утечка истории браузера |
| Интеграции браузера с ИИ | Perplexity | Обход безопасности, позволяющий доступ машине |
«Вы поставляете себя в ситуацию, когда браузер может быть полностью взломан, ваши аккаунты могут быть скомпрометированы, ваши данные могут утечь», — сказал Барури, как первым сообщил Wired AI.
Часто задаваемые вопросы
Нужно ли мне что-то делать прямо сейчас?
Если вы используете Atlas, прекратите его использование до 9 августа 2025 года, когда он закроется. Для других браузеров с ИИ и расширений проверьте, выпустила ли компания недавнее обновление безопасности, и до его подтверждения избегайте их использования при входе в конфиденциальные аккаунты, такие как ваш банк, электронная почта или приложения обмена сообщениями.
Почему ИИ просто не может отказать вредоносным инструкциям?
В этом и состоит проблема. Системы ИИ принимают решения на основе суждений, а не следуют фиксированным правилам, и опытные атакующие могут обмануть эти суждения, например, написав на другом языке или утверждая, что окружение — защищённая тестовая среда. Исследователи утверждают, что жёсткие технические барьеры, стены, которые ИИ просто не может пересечь независимо от того, что ему говорят, — единственное надёжное решение.
