Yapay zeka destekli tarayıcılar ve ajanlar, web görevlerini otomatikleştirerek kullanıcılara büyük kolaylık sağlıyor. Sayfaları özetleyebiliyor, hesaplardan veri çekebiliyor ve hatta sizin için tıklayıp yazabilen akıllı bir asistan gibi çalışabiliyor. Ancak yeni araştırmalar, bu yardımcıların gerçeklik ile oyun arasındaki çizgiyi kaybettiğinde, kullanıcı kimlik bilgilerinin ve hassas verilerin hedef haline gelebileceğini gösteriyor. Araştırmacı Roy Paz, 'BioShocking' adını verdiği bir saldırı türü geliştirdi. Bu saldırı, AI tarayıcılarına kurgusal bir senaryoyu gerçekmiş gibi sunarak güvenlik önlemlerini aşmalarını sağlıyor.
BioShocking, prompt injection ve hedef manipülasyonu tekniklerinin birleşimi olarak çalışıyor. Prompt injection, AI modellerinin uygulama talimatları ile saldırganın talimatları arasındaki farkı ayırt edememesinden yararlanıyor. Hedef manipülasyonu ise ajanın optimize etmesi gereken hedefi kademeli olarak değiştiriyor; 'kullanıcıya yardım et' talimatını 'oyunu ne pahasına olursa olsun kazan' haline dönüştürüyor. Paz'ın kanıt kavram çalışmasında, saldırgan BioShock oyun evreni temalı görünüşte zararsız bir web sayfası kontrol ediyor. Sayfada, AI ajanının kullanıcı adına çözmesi istenen bir bulmaca yer alıyor. Ancak bulmaca, yanlış cevapları ödüllendiriyor ve ajanı bu özel ortamda normal kuralların geçerli olmadığına ikna ediyor.
Son bulmaca adımı, ajana bir GitHub deposunu ziyaret etmesini, kod içindeki parolalar veya kimlik bilgileri gibi hassas verileri bulmasını ve bunları oyunun tamamlanması için paylaşmasını emrediyor. Altı ana akım AI tarayıcı ve eklenti üzerinde yapılan testlerde (ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser ve Claude Chrome uzantısı), her ajan talimatları takip etti ve isteği reddetmedi. Bu, AI ajanını hayali bir gerçekliğe daldırarak güvenlik sınırlarının dışına çıkmasını sağlamanın mümkün olduğunu gösteriyor. BioShocking, yapay zeka ajanlarını hedef alan büyüyen saldırı sınıfının sadece bir örneği. OpenClaw'ın AI e-posta ajanı üzerinde yapılan yakın tarihli bir çalışma, temel kimlik avı taktiklerinin bile ajandan AWS kimlik bilgilerini ve müşteri kayıtlarını sızdırmasını sağladığını ortaya koydu.
Detaylar ve Etkileri
Ortak zayıf nokta, bu tarayıcıların kimliği doğrulanmış bağlamları nasıl işlediği. Bir AI tarayıcı 'ajan modunda' çalışırken genellikle kullanıcının e-posta, kod depoları, bulut panoları, parola yöneticileri gibi hassas platformlardaki oturum açma durumunu devralıyor. AI modeli için bunlar sadece okunacak başka bir sayfa ve kopyalanacak alanlar. Eğer anlatı, kimlik bilgilerini kopyalamanın zararsız bir meydan okumanın parçası olduğunu söylüyorsa, mevcut uygulamaların çoğu buna uyuyor. Endişe verici olan, satıcıların yanıtı veya yanıt vermemesi. Paz, Ekim 2025'te altı etkilenen satıcıya BioShocking sorununu bildirdi. Rapora göre üçü yanıt vermedi ve yalnızca OpenAI'in ChatGPT Atlas'ı kanıt kavramı engelleyen bir düzeltme uyguladı. Anthropic, Claude Chrome eklentisini düzeltmeye çalıştı ancak önlemin saldırı senaryosuna karşı etkisiz kaldığı bildiriliyor. Perplexity AI ise sorunu düzeltme yapmadan kapattı.
