Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Przeglądarki agentowe AI i rozszerzenia wyposażone w modele językowe zmieniają sposób korzystania z internetu. Takie narzędzia nie tylko analizują treści, ale też wykonują działania w imieniu użytkownika: odczytują wiadomości, poruszają się między kartami, korzystają z aktywnych sesji i realizują zadania w wielu usługach jednocześnie.
Ta wygoda tworzy jednak nową powierzchnię ataku. W przypadku agentów AI zagrożenie nie musi wynikać z klasycznej luki w oprogramowaniu. Problemem może być sama logika działania systemu, który interpretuje treści z zewnątrz i jednocześnie posiada uprawnienia do wykonywania operacji w uwierzytelnionym środowisku użytkownika.
W skrócie
Badacze opisali dwa różne scenariusze ataku wymierzone w rozwiązania agentowe AI działające w przeglądarce. Pierwszy dotyczył ChatGPT Atlas, który mógł zostać zmanipulowany przez odpowiednio spreparowaną treść w serwisie społecznościowym. Drugi obejmował oficjalne rozszerzenie Claude dla Chrome, gdzie punktem wejścia była złośliwie przygotowana wiadomość e-mail.
- atak mógł rozpocząć się bez podejrzanego kliknięcia po stronie ofiary,
- źródłem komendy sterującej mogła być zwykła treść, np. komentarz lub e-mail,
- agent AI działał w kontekście aktywnych sesji użytkownika,
- skutkiem mogła być eksfiltracja danych, phishing lub nadużycie dostępu do innych usług.
Kontekst / historia
Klasyczny model bezpieczeństwa przeglądarki opiera się na separacji między domenami. Mechanizmy takie jak Same-Origin Policy ograniczają możliwość wpływania jednej witryny na dane i działania w innej. Agentowe systemy AI funkcjonalnie rozmywają tę granicę, ponieważ ich zadaniem jest właśnie wykonywanie wieloetapowych operacji między różnymi usługami.
To przesuwa punkt ciężkości z ochrony przed złośliwym kodem na ochronę przed treścią sterującą modelem. W efekcie indirect prompt injection przestaje być wyłącznie problemem jakości odpowiedzi i staje się praktycznym wektorem ataku na konta, wiadomości, pliki oraz procesy biznesowe.
Analiza techniczna
W scenariuszu dotyczącym ChatGPT Atlas badacze opisali podatność typu zero-click indirect prompt injection. Złośliwa instrukcja była osadzona w treści, którą agent interpretował jako część zadania użytkownika. W praktyce wystarczało, aby użytkownik zlecił rutynową czynność związaną z wpisem lub komentarzem, a ukryta zawartość mogła przejąć logikę działania agenta.
Następnie agent, korzystając z aktywnych sesji, mógł przechodzić do innych usług i wykonywać nieautoryzowane operacje. Opisywane scenariusze obejmowały m.in. odczyt list kontaktów, rozsyłanie wiadomości phishingowych czy ingerencję w proces zakupowy. Kluczowym problemem była kolizja intencji: agent próbował jednocześnie realizować polecenie użytkownika i interpretować napotkaną treść, przez co zewnętrzna instrukcja mogła uzyskać priorytet operacyjny.
W przypadku Claude dla Chrome łańcuch ataku rozpoczynał się od wiadomości e-mail zawierającej ukryte struktury promptów. Ofiara nie musiała otwierać załącznika ani klikać odnośnika. Wystarczało polecenie podsumowania wiadomości, aby agent potraktował osadzone instrukcje jako element zadania i uruchomił dalsze działania.
Badacze wskazali również scenariusz obejścia mechanizmów ochronnych poprzez import komponentów wyglądających na nieszkodliwe zależności. W efekcie możliwe było pobranie kodu z kontrolowanej infrastruktury, wykorzystanie aktywnych ciasteczek sesyjnych, odczyt zawartości skrzynki pocztowej, analiza wiadomości oraz przekazywanie danych poza środowisko ofiary. Pokazano także możliwość cichego udostępniania plików w chmurze i wsparcia przejęcia kont przez analizę wiadomości z kodami weryfikacyjnymi.
Oba przypadki pokazują ten sam problem systemowy: model nie jest już jedynie parserem treści, lecz wykonawcą działań z dostępem do aplikacji, sesji i procesów użytkownika. Jeśli nie ma wyraźnej separacji między danymi nieufnymi a komendami wykonawczymi, praktycznie każdy kanał wejściowy może stać się nośnikiem ataku.
Konsekwencje / ryzyko
Dla organizacji ryzyko wykracza daleko poza pojedyncze przejęcie konta. Agent AI może mieć dostęp do poczty, komunikatorów, repozytoriów dokumentów, systemów zgłoszeń, platform współpracy czy paneli administracyjnych. Udany atak może więc skutkować masową eksfiltracją danych, rozprzestrzenianiem phishingu, nieautoryzowanymi zmianami konfiguracji, nadużyciem tożsamości pracownika lub stratami finansowymi.
Szczególnie niebezpieczne są incydenty, w których działania agenta wyglądają jak normalna aktywność użytkownika. Z punktu widzenia logów i systemów monitorujących mogą to być legalne operacje wykonane z prawidłowej sesji, przeglądarki i urządzenia. To znacząco utrudnia detekcję, reakcję i analizę powłamaniową.
Rekomendacje
Organizacje wdrażające agentów AI powinny traktować je jak uprzywilejowanych operatorów. Kluczowe znaczenie mają ograniczanie uprawnień, segmentacja dostępu i zasada najmniejszych przywilejów. Agent nie powinien domyślnie otrzymywać szerokiego dostępu do wszystkich aktywnych sesji i usług.
- wymagać dodatkowego potwierdzenia dla działań wysokiego ryzyka, takich jak wysyłka wiadomości, zmiany kont, udostępnianie plików czy zakupy,
- oddzielać treści nieufne od instrukcji wykonawczych i blokować interpretowanie danych zewnętrznych jako poleceń systemowych,
- izolować sesje oraz ograniczać zdolność agenta do równoczesnego działania między wieloma domenami,
- monitorować nietypowe sekwencje działań wykonywane przez asystentów AI,
- blokować nieautoryzowane źródła zależności i importów z niezaufanej infrastruktury,
- prowadzić testy red team oraz scenariusze abuse case przed wdrożeniem produkcyjnym,
- szkolić użytkowników, że nawet podsumowanie e-maila przez agenta może stanowić ryzyko bezpieczeństwa.
Z perspektywy producentów potrzebna jest architektura warstwowego zaufania: wyraźne granice między obserwacją treści a wykonaniem akcji, osobne konteksty pamięci, polityki domenowe, kontrola przepływu uprawnień oraz mechanizmy human-in-the-loop dla operacji przekraczających określony próg ryzyka.
Podsumowanie
Opisane badania pokazują, że bezpieczeństwo agentów AI staje się odrębną kategorią cyberzagrożeń. Problem nie dotyczy wyłącznie pojedynczej podatności technicznej, ale fundamentalnego konfliktu między autonomią modelu a bezpieczeństwem sesji użytkownika.
Jeżeli agent może jednocześnie czytać nieufną treść i podejmować działania w uwierzytelnionym środowisku, prompt injection przestaje być wyłącznie manipulacją odpowiedzią. Staje się narzędziem realnej kompromitacji kont, danych i procesów biznesowych. Dla zespołów bezpieczeństwa oznacza to konieczność rozszerzenia modeli zagrożeń o warstwę agentową AI.