Przeglądarki i agenci oparte na sztucznej inteligencji mają za zadanie ułatwić wykonywanie żmudnych zadań w sieci. Potrafią streszczać treści stron, pobierać dane z kont użytkownika, a nawet pełnić rolę inteligentnego asystenta, który klika i wpisuje tekst za użytkownika. Jednak najnowsze badania pokazują, że gdy asystenci ci tracą orientację w tym, co jest rzeczywistością, a co tylko grą, dane logowania i poufne informacje użytkownika mogą stać się ofiarami ubocznymi.
Cechą charakterystyczną każdego rodzaju ataku jest obejście jednej z podstawowych zasad:
„Modele językowe dużej skali (LLM) są wyposażone w zabezpieczenia, których celem jest zapobieganie szkodliwym działaniom”.
Badacz Roy Paz opracował i ujawnił atak, który nazwał „BioShocking” – technikę polegającą na przekonaniu przeglądarek opartych na sztucznej inteligencji do rezygnacji z mechanizmów zabezpieczających poprzez przedstawienie im fikcyjnego scenariusza jako rzeczywistości.
W ten sposób BioShocking plasuje się na styku technik wstrzykiwania poleceń i manipulacji celami. Wstrzykiwanie poleceń działa, ponieważ modele sztucznej inteligencji nie potrafią odróżnić instrukcji aplikacji od instrukcji atakującego, przez co czasami wykonują te niewłaściwe. Ataki polegające na manipulacji celami subtelnie zmieniają to, co agent uważa za cel optymalizacji, przekształcając „pomoc użytkownikowi” w „wygranie gry za wszelką cenę”.
W demonstracji koncepcyjnej „BioShocking” osoba atakująca kontroluje pozornie nieszkodliwą stronę internetową nawiązującą do uniwersum gry BioShock. Strona zawiera zagadkę, którą agent AI, działający jako autonomiczna przeglądarka, ma rozwiązać w imieniu użytkownika. Ale tu pojawia się zwrot akcji: zagadka nagradza błędne odpowiedzi i wyraźnie informuje agenta, że jest to specjalne środowisko, w którym nie obowiązują zwykłe zasady.
Ostatni krok łamigłówki polega na tym, że agent musi odwiedzić repozytorium GitHub, zlokalizować w kodzie poufne dane, takie jak hasła czy dane uwierzytelniające, i udostępnić je w ramach ukończenia gry. W testach z sześcioma popularnymi przeglądarkami i wtyczkami AI – ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser i Claude Chrome przedłużenie — każdy agent zastosował się do instrukcji zamiast odrzucić prośbę.
W ten sposób, zanurzając agenta AI w fikcyjnej rzeczywistości, atakujący przekonał go do przekroczenia wyznaczonych granic.
BioShocking nie jest odosobnionym zjawiskiem. To kolejny przykład rosnącej liczby ataków, których celem są same agenty sztucznej inteligencji. Niedawne badanie dotyczące agenta poczty elektronicznej opartego na sztucznej inteligencji firmy OpenClaw wykazało, że za pomocą podstawowych taktyk phishingowych udało się nakłonić agenta do ujawnienia danych uwierzytelniających do AWS oraz danych klientów.
Oczywiście wspólnym słabym punktem jest sposób, w jaki przeglądarki te radzą sobie z kontekstami uwierzytelnionymi. Kiedy przeglądarka oparta na sztucznej inteligencji działa w „trybie agenta”, często przejmuje stan zalogowania użytkownika na wrażliwych platformach, takich jak poczta elektroniczna, repozytoria kodu, pulpity nawigacyjne w chmurze, menedżery haseł i tak dalej. Z punktu widzenia modelu sztucznej inteligencji są to po prostu kolejne strony do odczytania i kolejne pola do skopiowania. Nie mają dla niego żadnego szczególnego znaczenia.
Jeśli z kontekstu wynika, że skopiowanie danych uwierzytelniających stanowi część nieszkodliwego wyzwania, wiele obecnych implementacji to zaakceptuje.
Niepokojąca jest reakcja, a raczej jej brak, ze strony dostawców. Paz zgłosił problem z BioShockingiem sześciu dostawcom w październiku 2025 roku. Według raportu, trzech z nich nie odpowiedziało, a jedynie ChatGPT Atlas firmy OpenAI obecnie wdraża poprawkę blokującą proof-of-concept. Anthropic próbował naprawić swój błąd Claude. Chrome plugin, ale podobno środki zaradcze pozostają nieskuteczne w przypadku tego scenariusza ataku. W momencie zgłoszenia Perplexity AI zamknęło zgłoszenie bez podejmowania działań naprawczych.
Od zgłaszania zagrożeń po ich usuwanie.
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówki. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś .
