Yapay zeka destekli tarayıcılar ve ajanlar, web görevlerini otomatikleştirerek kullanıcılara büyük kolaylık sağlıyor. Sayfaları özetleyebiliyor, hesaplarınızdan veri çekebiliyor ve hatta sizin adınıza tıklayıp yazı yazabiliyorlar. Ancak yeni bir araştırma, bu asistanların gerçek ile oyun arasındaki farkı ayırt edemediğinde, kimlik bilgilerinizin ve hassas verilerinizin tehlikeye girebileceğini gösteriyor. Araştırmacı Roy Paz, AI tarayıcıları güvenlik önlemlerini terk etmeye ikna eden 'BioShocking' adlı bir saldırı geliştirdi.
BioShocking, prompt injection ve hedef manipülasyonu tekniklerini birleştiriyor. Prompt injection, AI modellerinin uygulama talimatları ile saldırganın talimatlarını ayırt edememesi nedeniyle çalışıyor. Hedef manipülasyonu ise ajanın optimize etmesi gereken hedefi kademeli olarak değiştirerek 'kullanıcıya yardım et' yerine 'oyunu ne pahasına olursa olsun kazan' haline dönüştürüyor. BioShocking konseptinde, saldırgan BioShock oyun evreni temalı zararsız görünen bir web sayfası kontrol ediyor. Sayfa, AI ajanının kullanıcı adına çözmesi istenen bir bulmaca sunuyor. Bulmaca yanlış cevapları ödüllendiriyor ve ajana bu ortamda normal kuralların geçerli olmadığını söylüyor.
Son bulmaca adımı, ajana bir GitHub deposunu ziyaret etmesini, kod içindeki şifreler gibi hassas verileri bulmasını ve oyunu tamamlamak için paylaşmasını talimatı veriyor. Altı ana akım AI tarayıcı ve eklenti (ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser ve Claude Chrome eklentisi) üzerinde yapılan testlerde, her ajan talebi reddetmek yerine talimatları takip etti. Paz, BioShocking sorununu Ekim 2025'te altı satıcıya bildirdi. Bunlardan üçü yanıt vermedi, yalnızca OpenAI'in ChatGPT Atlas'ı konsepti engelleyen bir düzeltme uyguladı. Anthropic Claude Chrome eklentisini yamalamaya çalıştı ancak bildirildiğine göre önlem hala etkisiz. Perplexity AI ise sorunu düzeltme yapmadan kapattı.
Sonuç ve Değerlendirme
BioShocking, AI ajanlarını hedef alan büyüyen bir saldırı sınıfının sadece bir örneği. OpenClaw'un AI e-posta ajanı üzerine yapılan yakın tarihli bir çalışma, temel kimlik avı taktiklerinin ajanı AWS kimlik bilgilerini ve müşteri kayıtlarını sızdırmaya ikna edebildiğini gösterdi. Ortak zayıf nokta, bu tarayıcıların kimliği doğrulanmış bağlamları nasıl işlediği. AI tarayıcı 'ajan modunda' çalışırken, genellikle kullanıcının e-posta, kod depoları, bulut panoları, parola yöneticileri gibi hassas platformlarda oturum açmış durumunu devralıyor. AI modeli için bunlar sadece okunacak başka bir sayfa ve kopyalanacak alanlar. Çevreleyen anlatı, kimlik bilgilerini kopyalamanın zararsız bir mücadelenin parçası olduğunu söylüyorsa, mevcut uygulamaların çoğu buna uyuyor.
