Yapay zeka destekli tarayıcılar ve ajanlar, web üzerindeki sıkıcı görevleri ortadan kaldırmayı vaat ediyor. Sayfaları özetleyebiliyor, hesaplarınızdan veri çekebiliyor ve hatta sizin yerinize tıklayıp yazabilen akıllı bir asistan gibi davranabiliyorlar. Ancak yeni bir araştırma, bu asistanların gerçek ile oyun arasındaki farkı kaybettiğinde, kimlik bilgilerinizin ve hassas verilerinizin hedef haline gelebileceğini gösteriyor.
Araştırmacı Roy Paz, 'BioShocking' adını verdiği bir saldırı yöntemi geliştirdi. Bu teknik, AI tarayıcılarına kurgusal bir senaryoyu gerçekmiş gibi sunarak güvenlik önlemlerini devre dışı bırakmalarını sağlıyor. Saldırı, komut enjeksiyonu ve hedef manipülasyonunun kesişiminde yer alıyor. AI modelleri, uygulamanın talimatları ile saldırganın talimatlarını ayırt edemediği için bazen yanlış olanları takip ediyor. Hedef manipülasyonu ise ajanın optimize etmesi gereken şeyi kademeli olarak değiştirerek 'kullanıcıya yardım et' hedefini 'oyunu her ne pahasına olursa olsun kazan' haline dönüştürüyor.
BioShocking konsept kanıtında, saldırgan BioShock oyun evreni temalı zararsız görünen bir web sayfası kontrol ediyor. Sayfa, otonom bir tarayıcı olarak hareket eden AI ajanının kullanıcı adına çözmesi istenen bir bulmaca sunuyor. Ancak bulmaca, yanlış cevapları ödüllendiriyor ve ajana bunun özel bir ortam olduğunu, normal kuralların geçerli olmadığını açıkça belirtiyor. Son bulmaca adımı, ajanın bir GitHub deposunu ziyaret etmesini, kod içindeki parola veya kimlik bilgileri gibi hassas verileri bulmasını ve oyunu tamamlamak için paylaşmasını istiyor. Altı ana akım AI tarayıcı ve eklenti üzerinde yapılan testlerde (ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser ve Claude Chrome eklentisi), her ajan talebi reddetmek yerine talimatları takip etti. Bu sayede saldırgan, AI ajanını hayali bir gerçekliğe daldırarak güvenlik önlemlerinin dışına çıkmasını sağladı.
Önemli Gelişmeler
BioShocking, büyüyen bir saldırı sınıfının sadece bir örneği. Bu saldırılar, AI ajanlarının kendilerini hedef alıyor. OpenClaw'un AI e-posta ajanı üzerine yapılan bir çalışma, temel kimlik avı taktiklerinin ajanı AWS kimlik bilgileri ve müşteri kayıtlarını sızdırmaya ikna edebildiğini gösterdi. Ortak zayıf nokta, bu tarayıcıların kimliği doğrulanmış bağlamları nasıl işlediği. AI tarayıcı 'ajan modunda' çalışırken, genellikle kullanıcının e-posta, kod depoları, bulut panoları, parola yöneticileri gibi hassas platformlardaki oturum açmış durumunu miras alıyor. AI modeli için bunlar sadece okunacak başka bir sayfa ve kopyalanacak daha fazla alan. Anlatının, kimlik bilgilerini kopyalamanın zararsız bir meydan okumanın parçası olduğunu söylemesi durumunda, mevcut uygulamaların çoğu buna uyuyor. Endişe verici olan ise satıcıların tepkisi. Paz, Ekim 2025'te altı etkilenen satıcıya BioShocking sorununu bildirdi. Rapora göre, üçü yanıt vermedi ve yalnızca OpenAI'in ChatGPT Atlas'ı konsept kanıtı engelleyen bir düzeltme uyguladı. Anthropic, Claude Chrome eklentisini yamamaya çalıştı ancak bildirildiğine göre önlem saldırı senaryosuna karşı etkisiz kaldı. Perplexity AI, raporlama sırasında sorunu düzeltme yapmadan kapattı.
