Исследователи взломали браузер OpenAI Atlas и совершили покупку на Amazon без ведома пользователя

Исследователи из компании Zenity обнаружили более 12 уязвимостей в AI-браузерах и наглядно показали: браузер OpenAI Atlas можно вынудить совершить несанкционированную покупку на Amazon и разослать спам всем контактам пользователя в WhatsApp — без его ведома и согласия.

Что нашла компания Zenity

Zenity, специализирующаяся на безопасности ИИ-агентов, провела системный аудит нескольких AI-браузеров — инструментов нового поколения, которые позволяют языковым моделям самостоятельно действовать в интернете: кликать, заполнять формы, совершать покупки и отправлять сообщения. По данным издания Wired, именно эта автономность и стала главной уязвимостью.

• Более 12 уязвимостей выявлено в разных AI-браузерах
• Один из ключевых объектов тестирования — OpenAI Atlas
• Демонстрация взлома: несанкционированная покупка товара на Amazon
• Второй вектор: массовая рассылка спама контактам пользователя через WhatsApp
• Исследование опубликовано в Wired компанией Zenity

Как именно угоняют AI-браузер

Atlas — AI-браузер OpenAI, способный управлять веб-страницами как человек: видеть контент, нажимать кнопки, вводить данные и выполнять многошаговые задачи. Исследователи из Zenity использовали против него технику prompt injection — внедрение посторонних инструкций через вредоносный контент на веб-странице.

Когда Atlas заходил на специально подготовленный сайт, он считывал скрытые инструкции как доверенные команды от пользователя и выполнял их. В демонстрационном сценарии браузер оформил реальный заказ на Amazon — пока пользователь ничего не подозревал. Атака работает в фоне: AI-агент автономен по природе, и пользователь может не заметить подозрительного действия вовремя.

«AI-агенты действуют от имени пользователя и имеют доступ к его аккаунтам — поэтому уязвимости в них опаснее, чем в обычном программном обеспечении», — констатируют исследователи

Zenity в своём отчёте, опубликованном Wired.

Спам через WhatsApp: реальная угроза для контактов

Второй продемонстрированный сценарий опасен уже не для кошелька, а для репутации. Атакующий вынуждает AI-браузер разослать спам через WhatsApp по всей адресной книге пользователя. Для получателя такое сообщение выглядит как пришедшее от знакомого человека — что создаёт идеальные условия для фишинга.

При этом сам владелец скомпрометированного браузера может долго не догадываться, что его агент рассылал нежелательные сообщения. Если в WhatsApp несколько сотен контактов, атака мгновенно охватывает широкий круг людей — и всё это без единого клика со стороны жертвы.

Что это значит

AI-браузеры — принципиально новый класс программного обеспечения, и стандарты безопасности для него ещё не сложились. Исследование Zenity показывает: скорость вывода продуктов на рынок опережает работу над защитой. Пока OpenAI и другие разработчики расширяют возможности своих агентов, устойчивость этих агентов к внешним манипуляциям остаётся открытым вопросом. Пользователям стоит с осторожностью предоставлять AI-браузерам широкие разрешения — особенно доступ к финансовым аккаунтам и мессенджерам.

Частые вопросы

Что такое prompt injection в AI-браузерах?

Prompt injection — атака, при которой вредоносные инструкции внедряются через данные, обрабатываемые AI-агентом в процессе работы (например, скрытый текст на веб-странице). Агент воспринимает их как доверенные команды пользователя и выполняет действия, которых тот не запрашивал — вплоть до покупок и отправки сообщений.

Может ли

OpenAI Atlas действительно списать деньги без разрешения?

Да — именно это продемонстрировали исследователи Zenity: браузер оформил реальный заказ на Amazon в ходе контролируемого эксперимента. Атака возможна, когда агенту предоставлен доступ к аккаунту с сохранёнными платёжными данными.

*Meta признана экстремистской организацией и запрещена в РФ.