Yapay zeka destekli web tarayıcıları, oyun oynadıklarına inandırılarak güvenlik önlemlerini terk etmeye ve kullanıcı verilerini sızdırmaya zorlanabiliyor. LayerX güvenlik firmasının gerçekleştirdiği araştırmada, OpenAI'nin ChatGPT Atlas'ı, Perplexity'nin Comet'i ve Anthropic'in Claude eklentisi dahil altı farklı 'agentic' tarayıcı ve eklenti, bu yöntemle kandırıldı. BioShocking adı verilen teknik, tarayıcılara sahte bir gerçeklik sunarak onların kısıtlamalarını kaldırmalarını sağlıyor.
Saldırının temelinde, AI tarayıcılarının çevrelerini gerçek olarak algılaması ve bu sayede güvenlik sınırları içinde kalması yatıyor. LayerX, tarayıcıyı bir oyunun parçası olduğuna ikna ederek bu sınırların ortadan kalktığını keşfetti. BioShock video oyunundan ilham alan isimlendirme, bir karakterin yanlış bir gerçekliği kabul etmeye manipüle edilmesini anımsatıyor. Araştırmacılar, iki artı ikinin beş ettiğini ısrarla savunan bir bulmaca içeren kötü niyetli bir web sayfası oluşturdu. Tarayıcı yanlış cevapların kabul edilebilir olduğunu anladığında, kuralları gerçek dışı olarak görmeye başladı. Aynı etkinin prompt injection veya bellek zehirlemesiyle de elde edilebileceği belirtiliyor.
Gösterimde, tarayıcı hileli bulmacayı çözdükten sonra /code sayfasını açması ve bir metin kutusunun içeriğini kopyalaması talimatını aldı. Bu sayfa, kurbanın iş GitHub deposuna yönlendirildi ve tarayıcı SSH kimlik bilgilerini çekti. Tarayıcılar, hırsızlığı oyunun bir parçası olarak gördü ve kutlama yaptı. LayerX, testte zararsız bir düz metin dosyası kullandıklarını ancak gerçek bir saldırıda yönlendirmenin, kullanıcının giriş yaptığı herhangi bir siteye, açık sekmelere ve özel depolara yönlendirilebileceğini vurguladı. Altı tarayıcıdan hiçbiri kimlik bilgisi hırsızlığını kural ihlali olarak işaretlemedi.
Vendor yanıtları farklılık gösterdi. LayerX, OpenAI'nin ChatGPT Atlas'ta sorunu düzelttiğini bildirdi. Perplexity, raporu işleme koymadan kapattı. Fellou, Genspark ve Sigma adlı üç küçük satıcı yanıt vermedi. Anthropic bir düzeltme girişiminde bulundu ancak LayerX yamanın başarısız olduğunu söyledi. Infosecurity, satıcılarla bireysel olarak iletişime geçti. Saldırıyı önlemek için LayerX, AI tarayıcı üreticilerine, ajan giriş yapılmış hesaplardan okuma yapmadan önce kullanıcı onayı istemelerini, ajanın kuralların artık geçerli olmadığı söylendiğinde bunu işaretlemesini ve kullanıcıların ajanın erişimini sınırlamasına izin vermelerini önerdi.
Bu saldırı, AI tabanlı tarayıcıların güvenlik modellerindeki temel bir zafiyeti ortaya koyuyor: Bağlam güveni. Tarayıcılar, çevrelerini gerçek olarak kabul ettiği sürece güvenli davranır; ancak bağlam değiştirildiğinde, davranışları da değişiyor. BioShocking, sadece bir oyun kurgusu değil, aynı zamanda prompt injection ve bellek zehirlemesi gibi yöntemlerle de tetiklenebiliyor. Bu durum, AI tarayıcılarının kurumsal ortamlarda kullanımında ciddi riskler oluşturuyor. Kullanıcıların, hassas hesaplara erişimde AI ajanlarına tam yetki vermemesi ve her işlem için onay mekanizmaları talep etmesi kritik önem taşıyor.
Önemli Gelişmeler
LayerX'in araştırması, AI güvenliğinde yeni bir saldırı vektörünü gün yüzüne çıkarıyor. HashJack gibi dolaylı prompt injection saldırılarıyla birleştiğinde, BioShocking, web sitelerini AI ajanları için tuzaklara dönüştürebilir. Şirketlerin, AI tarayıcılarını kullanırken bu tür saldırılara karşı farkındalık geliştirmesi ve güvenlik politikalarını güncellemesi gerekiyor. Özellikle geliştiriciler, AI ajanlarının hangi kaynaklara erişebileceğini sınırlamalı ve hassas verilerin otomatik olarak okunmasını engellemelidir.
Kaynak: infosecurity-magazine.com
