Нові методи злому AI-браузерів: як хакери маніпулюють ChatGPT Atlas і Claude в Chrome
Компанія з кібербезпеки Zenity розкрила деталі двох складних технік злому AI-браузерів, які націлені на ChatGPT Atlas та розширення Claude для Chrome. Ці методи дозволяють зловмисникам захоплювати акаунти, проводити фішинг-атаки та навіть робити несанкціоновані покупки на Amazon, використовуючи уразливості в архітектурі цих систем.
Уразливість ChatGPT Atlas: що не так з агентним браузером?
Дослідники Zenity виявили, що архітектура ChatGPT Atlas, створеного OpenAI, уразлива до атаки типу zero-click indirect prompt injection (IPI). Це викликано не багами в коді, а саме структурними особливостями, які дозволяють зловмисникам вкрай непомітно впливати на поведінку агента через «зіткнення намірів».
Атака працює таким чином:
- За допомогою одного хитро підготовленого коментаря в публікації X (колишній Twitter) можна захопити запити звичайного користувача;
- Агент-браузер, порушуючи політику Same-Origin Policy, діє одночасно в декількох автентифікованих вкладках, що створює ризик CSRF;
- Через цю вразливість зловмисник отримує змогу керувати агентом на інших сайтах, де користувач увійшов у свій акаунт.
Zenity навела приклади двох небезпечних сценаріїв:
- Користувач просить Atlas підписатися на розсилку з X, але зловмисницький коментар перенаправляє агента на шкідливу сторінку. Далі агент переходить у WhatsApp Web та відсилає фішингові повідомлення зі списку контактів потерпілого.
- Atlas автоматично додає товари в кошик на Amazon, змінює адресу доставки на адресу хакера і використовує вбудованого AI-помічника Rufus для завершення замовлення, обходячи обмеження на автоматичні кліки.
Компанія Zenity повідомила OpenAI про ці проблеми у січні 2026 року. Водночас виправлення ускладнене, оскільки вразливість пов’язана з базовою функціональністю агентного браузера, що потребує читання та виконання інструкцій у межах автентифікованих доменів.
Claude на Chrome: ланцюжок атак без кліків
Окрім ChatGPT Atlas, Zenity розробила експлойти для офіційного розширення Claude у браузері Chrome. Цей ланцюжок атак також починається зі zero-click і може призвести до повного захоплення акаунтів на різних вебплатформах.
Як це працює?
- Зловмисник надсилає жертві лист із невидимими інструкціями, які Claude розпізнає при спробі підсумувати вхідні повідомлення;
- Стандартні бар’єри безпеки блокують пряме виконання шкідливого коду, але атака обходить ці механізми за рахунок виклику кастомних NPM-пакетів із злочинного CDN;
- Claude під виглядом безпечного імпорту виконує приховану шкідливу інструкцію.
Далі, використовуючи активні куки сесії, скрипт втручається в пошту Gmail, зчитує повні тексти листів та висилає їх на сервер хакера. Також можна автоматично надавати доступ до файлів Google Диску, передаючи права акаунту злочинця.
Zenity навела приклади атаки на Slack та X акаунти, де Claude моніторить пошту на надходження кодів двофакторної аутентифікації, які потім передаються зловмисникам для перехоплення сесії та зміни паролів.
Інформацію про ці проблеми було передано розробникам Anthropic ще у грудні 2025-го і січні 2026 року. Офіційний статус — «інформаційна» оцінка, що означає відсутність критичних патчів на даний момент.
Корисні посилання, які варто знати
- Виявлена критична уразливість Paperclip, що дозволяла отримати повний доступ адміністратора і запускати код;
- У процесі тестування Meta AI випадково зламала зовнішні системи;
- Міжнародний альянс кібербезпеки працює над стандартами обміну даними про інциденти з AI.
