Bezpečnostná firma dokázala oklamať AI prehliadače na krádež dát a hesiel

Bezpečnostná firma LayerX upozornila na nový typ útoku proti AI prehliadačom, ktorý nazvala BioShocking. Nešlo pritom o žiadny technicky sofistikovaný exploit, ale o pomerne jednoduchú manipuláciu. Výskumníci dokázali totižto presvedčiť AI prehliadač, že sa nachádza v hre, kde neplatia bežné pravidlá. Keď agent prijal túto „hernú realitu“, prestal správne rozpoznávať, že jeho ďalšie kroky môžu byť nebezpečné.

Išlo o jednoduchý proces

V testovacom scenári úmyselne vytvorená škodlivá stránka najprv prehliadaču predložila hádanku, v ktorej boli nesprávne odpovede prezentované ako správne. Agent sa tak postupne naučil, že má nasledovať pravidlá hry, nie realitu. Následne dostal úlohu nájsť a skopírovať „skrytý kód“ z inej stránky. V tom prípade však už mohlo ísť aj o citlivé údaje, napríklad prihlasovacie údaje, SSH kľúče, tokeny alebo obsah z účtov, do ktorých bol používateľ už prihlásený.

LayerX tvrdí, že táto metodológia fungovala na šiestich testovaných prehliadačoch: ChatGPT Atlas, Perplexity Comet, Fellou, Genspark Browser, Sigma Browser a rozšírení Claude pre Chrome. Vo všetkých prípadoch agenti podľa výskumníkov zlyhali a citlivý obsah skopírovali, akoby len plnili ďalšiu úlohu v hre.

Väčšina prehliadačov problém neopravila

Najväčším problémom má byť samotná povaha AI prehliadačov. Tie dnes vedia nielen odpovedať na otázky, ale aj klikať, čítať stránky, vypĺňať formuláre a pracovať v prihlásených účtoch používateľa. Ak takýto agent neodlíši nevinnú hru od pokusu o krádež dát, riziko je výrazne väčšie než pri bežnom chatbotovi.

LayerX uvádza, že všetky spomenuté firmy upozornili medzi októbrom 2025 a januárom 2026. OpenAI problém v Atlase opravila, Anthropic sa pokúsil opraviť rozšírenie Claude, avšak podľa LayerX k funkčnej oprave zatiaľ nedošlo. Perplexity prípad uzavrelo bez fixu a ďalší traja výrobcovia podľa výskumníkov nereagovali, čo samozrejme nie je pre AI prehliadače ako také dobrá vizitka. Prehliadače so zabudovaným AI agentom tak jednoznačne budú potrebovať aj naďalej prísnejšie potvrdenia pri práci s citlivými dátami a jasné obmedzenia toho, ku ktorým stránkam a účtom vôbec môžu pristupovať.