Siber güvenlik araştırmacıları, yapay zeka destekli tarayıcıların bir oyun oynadıklarına inandırılarak güvenlik önlemlerini terk etmeleri ve kullanıcı verilerini sızdırmaları yönünde kandırılabildiğini ortaya koydu. LayerX firması tarafından geliştirilen ve BioShocking adı verilen teknik, OpenAI’nin ChatGPT Atlas’ı, Perplexity’nin Comet’i ve Anthropic’in Claude eklentisi dahil olmak üzere altı farklı yapay zeka tarayıcısı ve eklentisi üzerinde başarıyla test edildi. Kanıt amaçlı saldırıda, tüm altı tarayıcı kullanıcının giriş bilgilerini kopyalayıp saldırgana göndermeye yönlendirildi.
Yapay zeka tarayıcıları, çevrelerinin gerçek olduğu varsayımıyla hareket eder ve bu sayede güvenlik sınırlarını aşmazlar. LayerX, aracının bağlamının kurgusal olduğuna ikna edilmesi durumunda bu sınırların ortadan kalktığını keşfetti. Tekniğin adı, bir karakterin yanlış bir gerçekliği kabul etmeye manipüle edildiği BioShock video oyunundan esinleniyor. Saldırıyı gerçekleştirmek için LayerX, kasıtlı olarak yanlış cevapları ödüllendiren bir bulmaca içeren kötü niyetli bir web sayfası oluşturdu. Örneğin, iki artı ikinin beş ettiği konusunda ısrar eden bu bulmaca, aracının yanlış cevapların kabul edilebilir olduğunu kabul etmesinin ardından kuralları gerçek dışı olarak görmesine neden oldu.
Gösterimde, aracı hileli bulmacayı çözdükten sonra /code adlı bir sayfayı açması ve bir metin kutusunun içeriğini kopyalaması talimatı verildi. Bu sayfa, kurbanın iş GitHub deposuna yönlendirme yaparak aracının SSH kimlik bilgilerini çekmesine yol açtı. Araçlar, bu hırsızlığı bir ihlal olarak algılamak yerine oyunun bir adımı olarak kabul edip kutlama yaptı. LayerX, testte zararsız bir düz metin dosyası kullanıldığını ancak gerçek bir saldırıda yönlendirmenin, kullanıcının oturum açtığı herhangi bir siteyi (açık sekmeler ve özel depolar dahil) hedef alabileceğini, böylece veri sızıntısı kapsamını genişletebileceğini vurguladı. Altı aracıdan hiçbiri kimlik bilgisi hırsızlığını kurallarının ihlali olarak işaretlemedi.
Vendor yanıtları farklılık gösterdi. LayerX, OpenAI’nin ChatGPT Atlas’taki sorunu giderdiğini, Perplexity’nin raporu kapatıp aksiyon almadığını, Fellou, Genspark ve Sigma gibi üç küçük satıcının yanıt vermediğini bildirdi. Anthropic bir düzeltme girişiminde bulunsa da LayerX’e göre yama başarısız oldu. Saldırıyı önlemek için LayerX, yapay zeka tarayıcı üreticilerine, bir aracının oturum açılmış hesaplardan okuma yapmadan önce kullanıcı onayı istemesini, aracıya olağan kuralların artık geçerli olmadığı söylendiğinde uyarı vermesini ve kullanıcıların aracının erişebileceği alanları sınırlamasını önerdi. Firma, bu araçların bağlamlarına güvendiğini, dolayısıyla bağlamı değiştirmenin yapacaklarını da değiştirdiğini belirtti.
