Pięć przeglądarek AI można przejąć bez jednego kliknięcia. Wystarczy zwykły e-mail

Przeglądarki z agentami sztucznej inteligencji miały być kolejnym etapem rozwoju internetu. Zamiast samodzielnie przeklikiwać strony, użytkownik wydaje polecenie, a AI czyta witryny, korzysta z poczty, otwiera dokumenty, wypełnia formularze i wykonuje zadania w jego imieniu. Problem pojawia się wtedy, gdy przeglądarka nie potrafi odróżnić polecenia użytkownika od instrukcji ukrytej w treści, którą właśnie analizuje.

Badacze z Zenity Labs pokazali podczas konferencji Black Hat USA 2026, że taki scenariusz dotyczy aż pięciu popularnych rozwiązań. Na celowniku znalazły się Claude w Chrome, Gemini w Chrome, Perplexity Comet, ChatGPT Atlas oraz Copilot działający w Edge. W przygotowanych demonstracjach atakujący nie musiał nakłaniać ofiary do kliknięcia podejrzanego przycisku. Wystarczył odpowiednio przygotowany e-mail, zaproszenie w kalendarzu albo link umieszczony na stronie internetowej.

Skala problemu jest szczególnie istotna dlatego, że agent AI otrzymuje znacznie większe uprawnienia niż klasyczna przeglądarka. Może działać na kontach, do których użytkownik jest już zalogowany, czytać informacje z wielu usług i wykonywać polecenia w jego imieniu.

Jeden e-mail może wystarczyć do przejęcia danych

Zenity nazwało zaprezentowaną klasę ataków PleaseFix. Jej fundamentem jest zjawisko określane jako Intent Collision, czyli kolizja intencji.

Mechanizm jest stosunkowo prosty. Użytkownik może poprosić agenta o podsumowanie skrzynki pocztowej. Agent zaczyna analizować wiadomości i trafia na specjalnie spreparowany tekst. Zamiast potraktować go wyłącznie jako zawartość wiadomości, interpretuje znajdujące się tam instrukcje jako polecenie do wykonania.

To otwiera drogę do działań, których użytkownik nigdy nie zlecał.

W przypadku Claude w Chrome badacze przygotowali wiadomość e-mail, którą agent analizował podczas wykonywania zwykłego zadania. Demonstracja zakończyła się wykradzeniem zawartości Gmaila, udostępnieniem całego Dysku Google atakującemu oraz przejęciem dostępu do kont Slack, X i Claude.

Co szczególnie niepokojące, atak zadziałał także w trybie, który powinien zwiększać ostrożność agenta. Claude nadal został nakłoniony do wykonania niepożądanych działań.

Perplexity Comet zaatakowany przez zaproszenie do kalendarza

W przypadku Perplexity Comet Zenity wykorzystało inną drogę. Atakujący przygotował zaproszenie do kalendarza wyglądające jak zwykłe wydarzenie.

Użytkownik nie musiał otwierać podejrzanej strony ani naciskać przycisku. Agent przeanalizował zawartość zaproszenia i rozpoczął wykonywanie ukrytych instrukcji. W demonstracji uzyskał dostęp do lokalnego systemu plików oraz wykorzystał odblokowane rozszerzenie 1Password.

Efekt był szczególnie poważny. Badacze pokazali możliwość wykradzenia zawartości sejfu z hasłami.

To pokazuje różnicę między tradycyjnym phishingiem a atakiem wymierzonym w agenta AI. Człowiek może zignorować wiadomość, ponieważ nie rozpozna jej jako istotnej. Agent został zaprojektowany właśnie po to, aby czytać takie treści i reagować na nie.

ChatGPT Atlas wykonał polecenia ukryte na stronie

Jeszcze ciekawszy scenariusz dotyczył ChatGPT Atlas. Tym razem punktem wejścia był link znajdujący się pod popularnym postem w mediach społecznościowych.

Agent odwiedził wskazaną stronę i rozpoczął wykonywanie zawartych tam instrukcji. W jednej z demonstracji wykorzystano konto WhatsApp użytkownika do wysłania wiadomości phishingowych.

W kolejnym scenariuszu Atlas ingerował w zakupy na Amazonie. Agent zmodyfikował koszyk i podmienił adres dostawy na adres wskazany przez atakującego. Gdy mechanizmy bezpieczeństwa zablokowały próbę płatności, badacze pokazali jeszcze bardziej niepokojący wariant. Atlas poprosił innego agenta AI, Amazona Rufusa, o dokończenie zamówienia z wykorzystaniem karty kredytowej ofiary.

Jeden agent próbował więc wykorzystać możliwości drugiego. To właśnie takie scenariusze mogą być szczególnie trudne do kontrolowania, gdy kolejne systemy AI zaczynają współpracować ze sobą bez bezpośredniego nadzoru człowieka.

Agent AI może wyjść poza przeglądarkę

Największe zagrożenie pojawia się wtedy, gdy agent uzyska dostęp do usług działających lokalnie na komputerze.

Zenity pokazało, że Perplexity Comet może wykorzystać dostępne na urządzeniu narzędzia, takie jak Ollama i Open WebUI. W demonstracji agent dostał się do lokalnego środowiska i otworzył zdalną powłokę zwrotną.

W praktyce granica między przejęciem przeglądarki a przejęciem komputera zaczyna się zacierać.

Podobne testy przeprowadzono z Gemini. Próby zablokowania dostępu do lokalnych zasobów zostały obejście przez badaczy. W jednym ze scenariuszy Gemini usunął serwery działające na koncie AWS ofiary. W przypadku Copilota w Edge demonstracja doprowadziła do uszkodzenia bazy danych SQL.

Nie chodzi więc wyłącznie o wykradzenie pojedynczej wiadomości czy dokumentu. Jeśli agent posiada wystarczające uprawnienia, złośliwa instrukcja może zostać wykorzystana do wykonania operacji na usługach, z których użytkownik korzysta na co dzień.

Historia przeglądania również może stać się narzędziem ataku

Badacze zwrócili także uwagę na technikę określoną przez nich jako HistoryFixing. Wykorzystuje ona starą możliwość manipulowania historią przeglądarki.

Atakujący może umieścić w niej sfabrykowane wpisy, które później zostaną odczytane przez agenta. AI może potraktować je jako informacje dotyczące użytkownika, jego wcześniejszych działań albo preferencji.

Problem jest szczególnie interesujący w przypadku agentów, które wykorzystują historię przeglądania jako źródło informacji przy podejmowaniu decyzji. Fałszywa informacja może zostać przedstawiona agentowi w momencie, gdy wykonuje zupełnie inne zadanie.

Dlaczego klasyczne zabezpieczenia przeglądarek nie wystarczają

Michael Bargury, współzałożyciel i dyrektor techniczny Zenity, zwraca uwagę na fundamentalny problem konstrukcyjny przeglądarek agentowych.

Klasyczne przeglądarki izolują strony internetowe. Jedna witryna nie powinna mieć możliwości swobodnego dostępu do zalogowanego konta użytkownika w innym serwisie. Jednym z mechanizmów zapewniających taką separację jest polityka tego samego pochodzenia.

Agent AI działa jednak według zupełnie innego modelu. Ma czytać informacje pochodzące z różnych źródeł i łączyć je w ramach jednego zadania. Potrzebuje więc dostępu do treści, które w tradycyjnym modelu przeglądania pozostawały od siebie odseparowane.

Powstaje konflikt. Ta sama zdolność, która pozwala agentowi skutecznie wykonywać polecenia, może zostać wykorzystana do przemycenia instrukcji pochodzących od atakującego.

Zenity uważa dlatego, że problemu nie da się sprowadzić do pojedynczej luki w kodzie. Dotyczy on sposobu projektowania agentów, które mogą działać w imieniu człowieka i jednocześnie interpretować nieufne treści z internetu.

Firmy zostały poinformowane przed konferencją

Zenity przekazało informacje o odkryciach firmom Anthropic, Perplexity, Google, Microsoft i OpenAI jeszcze przed rozpoczęciem Black Hat USA 2026. Część producentów wprowadziła poprawki. W niektórych przypadkach badacze zdołali jednak ponownie ominąć zabezpieczenia. Zenity poinformowało między innymi, że po ograniczeniu przez Perplexity dostępu do systemu plików udało się dwukrotnie znaleźć sposób na obejście tej ochrony.

To pokazuje, jak trudne może być zabezpieczenie systemów, które muszą jednocześnie wykonywać zadania i czytać potencjalnie złośliwe treści.

W tradycyjnej aplikacji można jasno rozdzielić dane od poleceń. Agent AI interpretuje natomiast język naturalny. Dla niego tekst w wiadomości, instrukcja użytkownika i treść strony mogą znajdować się bardzo blisko siebie.

Najbezpieczniejszy agent to taki, który ma najmniej dostępu

Stav Cohen z zespołu Zenity zajmującego się bezpieczeństwem AI porównuje przeglądarkę agentową do pracownika, który jest już zalogowany do poczty, plików, kalendarza i innych usług.

To trafna analogia. Jeśli taki pracownik padnie ofiarą manipulacji, atakujący może wykorzystać jego uprawnienia.

Dlatego użytkownicy powinni ograniczać zakres danych i usług dostępnych dla agentów. Szczególnie ryzykowne jest logowanie w takiej przeglądarce do głównej skrzynki pocztowej, GitHuba, paneli chmurowych czy innych kont zawierających poufne informacje.

Nie należy również traktować każdego okna z prośbą o potwierdzenie jako skutecznej bariery. Zenity pokazało, że w przypadku Claude'a mechanizm wymagający dodatkowej zgody również można było obejść.

ChatGPT Atlas ma zostać zamknięty

W przypadku jednego z pięciu testowanych produktów sytuacja jest dodatkowo nietypowa. OpenAI zapowiedziało zamknięcie ChatGPT Atlas 9 sierpnia. Osoby korzystające z tej przeglądarki powinny więc przed zakończeniem jej działania zadbać o zapisanie potrzebnych danych i sprawdzenie, gdzie agent miał dostęp do kont użytkownika.

Pozostałe rozwiązania nadal pozostają dostępne, a problem z ich bezpieczeństwem nie znika wraz z zakończeniem projektu Atlas.

Przeglądarki AI dopiero uczą się granic zaufania

Agenci AI mają wykonywać za człowieka coraz więcej czynności. Mogą czytać wiadomości, analizować dokumenty, korzystać z kalendarza, dokonywać zakupów i obsługiwać aplikacje. Każda kolejna możliwość zwiększa jednak liczbę zasobów, które mogą zostać wykorzystane przez złośliwą instrukcję.

W klasycznej przeglądarce strona internetowa jest przede wszystkim miejscem, które użytkownik odwiedza. W przeglądarce agentowej staje się również źródłem poleceń dla oprogramowania mającego dostęp do kont użytkownika.

To fundamentalna różnica. Jeśli agent nie potrafi niezawodnie rozpoznać, czy dana instrukcja pochodzi od jego właściciela, czy od przypadkowej strony internetowej, zwykły e-mail może stać się odpowiednikiem klucza do cyfrowego życia użytkownika.

Dlatego zanim powierzymy przeglądarce AI dostęp do wszystkich naszych kont, warto potraktować ją nie jak zwykłą przeglądarkę, lecz jak autonomicznego pracownika z dostępem do poufnych danych. Im więcej może zrobić bez pytania człowieka, tym poważniejsze konsekwencje może mieć pojedyncza złośliwa instrukcja.