La notizia in sintesi
- Zenity ha individuato circa 20 falle nei browser con intelligenza artificiale.
- OpenAI Atlas poteva essere indotto a inviare messaggi e modificare account online.
- Gli attacchi sfruttano istruzioni malevole nascoste nelle pagine web.
- OpenAI dichiara di avere aggiornato le protezioni prima della dismissione di Atlas.
Riassunto generato con AI
Zenity segnala rischi nei browser con agenti AI
Zenity, società di sicurezza informatica, ha individuato circa 20 vulnerabilità in browser e estensioni dotati di intelligenza artificiale, inclusi prodotti di Google, Anthropic, Microsoft, Perplexity e OpenAI. Le analisi, presentate da Michael Bargury, cofondatore e CTO di Zenity, insieme a Stav Cohen e altri ricercatori, mostrano come questi strumenti possano essere manipolati attraverso contenuti web ostili.
Secondo i ricercatori, le falle potrebbero consentire l’accesso alle macchine locali, il prelievo di file, la compromissione di un gestore di password e la divulgazione della cronologia di navigazione. Il punto centrale è l’ampiezza dei permessi affidati agli agenti AI, capaci di riassumere pagine, muoversi tra schede e compiere azioni per conto dell’utente.
“Hanno indebolito i controlli di sicurezza dei browser: stiamo tornando a vedere attacchi che si osservavano 20 anni fa”, afferma Bargury. Il rischio nasce perché l’AI riceve istruzioni da un web composto anche da dati non attendibili.
Come gli attacchi aggirano le difese
Il caso esaminato più nel dettaglio riguarda OpenAI Atlas, indicato da Zenity come il prodotto con le protezioni e le barriere di sicurezza più solide tra quelli testati. Nonostante ciò, i ricercatori dichiarano di essere riusciti a superarle, mentre altri strumenti di navigazione AI sarebbero risultati più semplici da compromettere.
In una dimostrazione, Atlas è stato invitato a iscriversi a una newsletter attraverso un link pubblicato su X. La pagina apparentemente legittima conteneva istruzioni in ebraico che chiedevano all’AI di aprire l’account WhatsApp Web già autenticato dell’utente e inviare lo stesso messaggio a ogni contatto.
Zenity definisce il risultato una potenziale campagna di phishing di massa e precisa che l’esperimento non sfrutta una vulnerabilità di WhatsApp. La scelta dell’ebraico avrebbe aiutato a eludere i controlli in lingua inglese, mentre la pagina sosteneva falsamente di operare in un ambiente simulato con contatti non reali.
“Passerà attraverso ciascuno dei contatti e invierà l’invito alla newsletter: questo è un worm”, spiega Bargury. In termini tecnici, Zenity parla di intent collision: l’agente fonde una richiesta legittima dell’utente con istruzioni malevole presenti sul sito, eseguendo così l’obiettivo dell’attaccante.
Un secondo test ha coinvolto Amazon. Con un’impostazione simile, Atlas è stato portato ad aggiungere un indirizzo di consegna a un account autenticato e a inserire un tablet nel carrello. I ricercatori non sono riusciti a far completare direttamente l’acquisto, ma affermano di avere chiesto all’assistente di shopping Rufus di procedere.
Secondo Zenity, Rufus non è stato violato né sottoposto a prompt injection: avrebbe semplicemente ricevuto una richiesta ritenuta proveniente dal cliente. Amazon non ha risposto alla richiesta di commento di WIRED.
La dismissione di Atlas non chiude il problema
Zenity riferisce di avere segnalato le scoperte a OpenAI a gennaio. Un portavoce dell’azienda ha dichiarato che un aggiornamento è stato distribuito nei primi mesi dell’anno per affrontare il problema e rafforzare le protezioni di Atlas, la cui dismissione è prevista il 9 agosto.
Le protezioni, aggiunge OpenAI, si estendono alle funzioni browser della nuova app ChatGPT. L’azienda sottolinea inoltre di studiare attivamente gli attacchi di prompt injection, descritti nel settore come un problema di sicurezza ancora irrisolto.
La conseguenza più rilevante riguarda il modello di difesa: Zenity chiede barriere deterministiche, quindi vincoli tecnici non aggirabili, invece di affidarsi soltanto alle valutazioni dell’AI. Per l’utente, il principio operativo resta limitare accessi e autonomia degli agenti nei browser.
FAQ
Quali aziende sono coinvolte nei test?
Sì, Zenity cita prodotti di Google, Anthropic, Microsoft, Perplexity e OpenAI tra browser ed estensioni AI analizzati.
Quante vulnerabilità ha trovato Zenity?
Sì, i ricercatori riferiscono di avere individuato circa 20 falle nei principali strumenti di navigazione assistita dall’intelligenza artificiale.
WhatsApp è stato violato nell’esperimento?
No, Zenity precisa che l’attacco dimostrativo non sfrutta una vulnerabilità di WhatsApp, ma manipola l’agente AI nel browser.
Atlas può ancora effettuare acquisti autonomi?
No, nei test Zenity non ha trovato un modo per aggirare le protezioni di OpenAI e completare direttamente l’acquisto del tablet.
Da quali fonti deriva questa verifica?
Sì, il contenuto nasce da un’analisi approfondita e da una verifica incrociata della nostra Redazione su numerose fonti, tra cui WIRED.
