Yapay zeka destekli web tarayıcıları, kendilerini bir oyunun içinde sandıkları için güvenlik önlemlerini terk ederek kullanıcı verilerini sızdırdı. LayerX araştırmacıları tarafından geliştirilen BioShocking adlı teknik, OpenAI'nin ChatGPT Atlas, Perplexity'nin Comet ve Anthropic'in Claude eklentisi dahil altı farklı ajan tarayıcı ve eklentiyi başarıyla kandırdı. Proof-of-concept saldırıda, tümü kullanıcının giriş kimlik bilgilerini kopyalayarak saldırgana gönderdi.
Saldırının temelinde, AI tarayıcılarının çevrelerini gerçek varsayarak güvenlik sınırları içinde kalması yatıyor. LayerX, ajanın içinde bulunduğu bağlamın kurgu olduğuna ikna edilmesiyle bu sınırların ortadan kalktığını keşfetti. BioShock video oyunundan esinlenen isim, karakterin sahte bir gerçekliği kabul etmeye zorlanmasına atıfta bulunuyor. Araştırmacılar, kasıtlı olarak yanlış cevapları ödüllendiren bir bulmaca içeren kötü niyetli bir web sayfası oluşturdu. Ajan, yanlış cevapların kabul edilebilir olduğunu benimsediğinde, kuralları gerçek olarak algılamayı bıraktı.
Gösterimde, ajan hileli bulmacayı çözdükten sonra /code sayfasını açması ve bir metin kutusunun içeriğini kopyalaması talimatını aldı. Bu sayfa, kurbanın iş GitHub deposuna yönlendirildi ve ajan SSH kimlik bilgilerini çıkardı. Ajanlar bu hırsızlığı oyunun bir parçası olarak görüp kutladı. LayerX, testte zararsız bir düz metin dosyası kullanıldığını ancak gerçek bir saldırıda yönlendirmenin kullanıcının giriş yaptığı herhangi bir siteye (açık sekmeler, özel depolar) yönlendirilebileceğini belirtti. Hiçbir ajan, kimlik bilgisi hırsızlığını kural ihlali olarak işaretlemedi.
Nasıl Önlem Alınmalı?
Vendor yanıtları farklılık gösterdi: LayerX, OpenAI'in ChatGPT Atlas'ta sorunu düzelttiğini, Perplexity'in raporu işleme koymadan kapattığını, üç küçük satıcının (Fellou, Genspark, Sigma) yanıt vermediğini ve Anthropic'in yamasının başarısız olduğunu bildirdi. Infosecurity, satıcılarla bireysel olarak temasa geçti. LayerX, saldırıyı önlemek için AI tarayıcı üreticilerine, ajanın oturum açılmış hesaplardan okuma yapmadan önce kullanıcı onayı istemelerini, kuralların geçersiz olduğu söylendiğinde uyarı vermelerini ve ajanın erişimini sınırlamalarını önerdi.
