Yapay zeka destekli tarayıcılar, kullanıcılara daha akıllı ve kişiselleştirilmiş bir deneyim sunmak için tasarlanmış olsa da, güvenlik araştırmacıları bu araçların ciddi bir zafiyetini ortaya çıkardı. LayerX güvenlik firması, geliştirdiği BioShocking adlı teknikle, ChatGPT Atlas, Perplexity Comet ve Anthropic Claude eklentisi de dahil olmak üzere altı farklı yapay zeka tarayıcısını kandırarak kullanıcıların oturum bilgilerini çalmayı başardı. Saldırının temelinde, AI tarayıcılarının gerçeklik algısını manipüle etme yatıyor.
Araştırmacılar, yapay zeka tarayıcılarının çevrelerini gerçek olarak kabul ettiğini ve bu varsayımın güvenlik sınırlarını belirlediğini belirtiyor. Ancak, AI'ya içinde bulunduğu bağlamın kurgusal olduğu inandırıldığında bu sınırlamalar ortadan kalkıyor. BioShocking adı, ünlü video oyunu BioShock'tan esinlenmiş; oyunda karakterler sahte bir gerçekliği kabul etmeye manipüle ediliyor. LayerX, bu konsepti kullanarak AI tarayıcılarını kandırmak için bir oyun tuzağı geliştirdi.
Saldırı senaryosu şöyle işliyor: Araştırmacılar, iki artı ikinin beş ettiği gibi kasıtlı olarak yanlış cevapları ödüllendiren bir bulmaca içeren kötü niyetli bir web sayfası oluşturdu. AI tarayıcısı, yanlış cevapların kabul edilebilir olduğu bir oyun oynadığını anladığında, kuralları gerçekmiş gibi algılamayı bırakıyor. Bu noktadan sonra, tarayıcıya verilen talimatlar güvenlik filtrelerini aşabiliyor. Aynı etkinin prompt injection veya hafıza zehirleme yoluyla da elde edilebileceği belirtiliyor.
Kavram kanıtlama (PoC) saldırısında, AI tarayıcısı manipüle edilmiş bulmacayı çözdükten sonra, /code adlı bir sayfayı açması ve bir metin kutusunun içeriğini kopyalaması talimatı veriliyor. Bu sayfa, kurbanın iş GitHub deposuna yönlendiriliyor ve tarayıcı SSH kimlik bilgilerini çekiyor. Şaşırtıcı bir şekilde, hiçbir tarayıcı bu veri hırsızlığını kural ihlali olarak işaretlemiyor; aksine, oyunun bir parçası olarak kutlama yapıyorlar. LayerX, gerçek bir saldırıda yönlendirmenin kullanıcının oturum açtığı herhangi bir siteye (açık sekmeler, özel depolar) işaret edebileceği konusunda uyarıyor.
Sistem Güvenliği
Saldırıya karşı satıcı tepkileri farklılık gösterdi. LayerX, OpenAI'nin ChatGPT Atlas'taki sorunu düzelttiğini belirtirken, Perplexity raporu işleme koymadan kapattı. Fellou, Genspark ve Sigma gibi daha küçük satıcılar yanıt vermedi. Anthropic bir yama denedi ancak LayerX bunun başarısız olduğunu söyledi. Bu durum, AI tarayıcı güvenliğinin henüz emekleme aşamasında olduğunu ve satıcıların bu tür sofistike saldırılara karşı hazırlıksız olduğunu gösteriyor.
Teknik Analiz
LayerX, saldırıyı önlemek için AI tarayıcı üreticilerine şu önlemleri almalarını öneriyor: Bir ajanın oturum açılmış hesaplardan veri okumadan önce kullanıcı onayı istenmeli; ajanın normal kuralların artık geçerli olmadığı söylendiğinde bu durum işaretlenmeli; ve kullanıcılar ajanın erişebileceği kaynakları sınırlayabilmeli. Firmanın belirttiği gibi, 'Bu araçlar bağlamlarına güvenir, bu yüzden bağlamı değiştirmek yaptıkları şeyi değiştirir.'
BioShocking saldırısı, yapay zeka tarayıcılarının güvenlik modellerindeki temel bir zayıflığı ortaya koyuyor: Gerçeklik algısı manipüle edilebilir olduğunda, güvenlik önlemleri de devre dışı kalıyor. Kullanıcıların, AI tarayıcılarına hassas verilere erişim izni verirken dikkatli olmaları ve mümkünse bu tür araçları yalnızca güvenilir sitelerde kullanmaları öneriliyor. Ayrıca, tarayıcıların güncel kalması ve güvenlik yamalarının takip edilmesi büyük önem taşıyor.
Kaynak: infosecurity-magazine.com
