Sikkerhedsrisici i browsere med AI-agenter

Informatic Digital » Recursos » Sikkerhedsrisici i browsere med AI-agenter

Bølgen af ​​browsere med integrerede AI-agenter er allerede her: OpenAI's Atlas, Perplexity's Comet, Brave med Leo, Chrome med Gemini, Edge med Copilot, Firefox med smarte funktioner ... og mere på vej. Denne nye generation af software lover, at vi vil holde op med blot at "browse" og begynde at fortælle maskinen, hvad vi vil have den til at gøre: læse for os, udfylde formularer, administrere køb eller endda automatisere komplekse opgaver på nettet.

Denne bekvemmelighed har dog en mørk side: browseren bliver selv en autonom agent med adgang til dine tilladelser , åbne sessioner, filer og i mange tilfælde dine personlige eller virksomhedsdata. Hvis noget går galt – hvad enten det skyldes designfejl, sikkerhedssårbarheder eller et velplanlagt angreb – kan virkningen være langt større end for en traditionel browser eller en simpel cloudbaseret chatbot.

Hvad er en AI-drevet browser, og hvorfor ændrer den spillet?

En AI-drevet browser er i bund og grund en "normal" browser med en dybt integreret sprogmodel , der ser de sider, du besøger, forstår deres indhold og er autoriseret til at udføre handlinger, som om den var brugeren. Den opsummerer ikke bare et websted: den kan klikke på knapper, udfylde formularer, downloade filer, administrere faner eller interagere med tjenester, hvor du allerede er logget ind.

Dette gør en betydelig forskel i forhold til at bruge en klassisk chatbot i en anden fane, hvor du kopierer og indsætter indhold: nu er agenten "inde i" browseren med direkte adgang til din browserkontekst, dine åbne sessioner og potentielt dine lokale filer eller andre systemressourcer.

Denne arkitektur er særligt attraktiv for store teknologivirksomheder. Perplexity har lanceret sin Comet-browser og har endda overvejet at opkøbe Chrome , mens Google og Microsoft injicerer deres Gemini- og Copilot-modeller direkte i Chrome og Edge. OpenAI har på sin side præsenteret ChatGPT Atlas som sin egen Chromium-baserede browser med et AI-lag, der fungerer i separate processer for at reducere risici.

Forretningsmotivationen er klar: millioner af brugere, konstant brug og tonsvis af data . En browser som denne genererer enorm brugerloyalitet ( det er svært at skifte browser, hvilket er grunden til, at det er almindeligt at bruge flere browsere ), og derudover tilbyder den telemetri på al webtrafik og hvordan brugerne interagerer med netværket, noget ekstremt værdifuldt til træningsmodeller, test af nye funktioner og reduktion af infrastrukturomkostninger ved at flytte noget af arbejdet til brugernes egne enheder.

OpenAI Atlas: Nøglefunktioner og indledende sikkerhedsgrænser

Den 21. oktober 2025 udgav OpenAI den første offentlige version af ChatGPT Atlas til macOS , deres AI-drevne browser, der ifølge virksomheden vil blive udvidet til Windows, Android og iOS. Ideen er, at navigation skal "være" ChatGPT: brugeren behøver ikke længere at kopiere og indsætte tekst, som modellen kan behandle, men anmoder i stedet direkte om opgaver på den side, de ser.

For at reducere risici har OpenAI implementeret adskillige tekniske begrænsninger, der er specifikt designet til browseragenten . Atlas er baseret på Chromium, men AI'en kører i separate processer, indkapslet i det, de kalder OpenAI Web Layer (OWL). Ifølge den indledende dokumentation gør agenten følgende:

• Du kan ikke køre kode eller installere udvidelser. alene
• Den mangler evnen til at download filer uafhængigt eller få adgang til andre lokale applikationer.
• Han hverken ser eller bruger gemte adgangskoder eller autofuldførelse af data browser.
• Du kan ikke få adgang Enhedsoplysninger uden for dens anvendelsesområde navigation.

Med hensyn til privatliv lover OpenAI en "privatliv som standard"-tilgang: interaktioner med Atlas bruges ikke til at træne modeller, medmindre brugeren udtrykkeligt har givet tilladelse til det. Derudover er browserhukommelse – evnen til at huske sider og kontekster – som standard deaktiveret og skal aktiveres manuelt.

Brugeren kan også slette historik og hukommelser , definere hvilke websteder ChatGPT kan interagere med, eller endda helt blokere AI'en med et enkelt klik. På kritiske websteder som banker eller følsomme tjenester kræver Atlas manuel bekræftelse, før agenten handler , for at forhindre uønskede transaktioner eller automatiserede finansielle overførsler.

Disse sikkerhedsforanstaltninger er et skridt i den rigtige retning, men de eliminerer ikke det underliggende problem: en AI-drevet browser har meget mere kraft end en klassisk browser , og en enkelt sårbarhed, fejlkonfiguration eller designbeslutning er nok til at gøre den til en meget profitabel angrebsvektor.

Specifikke sikkerhedsrisici ved browsere med AI-agenter

Integrationen af ​​AI skaber en helt ny angrebsflade. Vi taler ikke kun om klassiske browserfejl, men også om mangler i samspillet mellem sprogmodellen, webindhold og automatiserede handlinger . Dette er de mest betydelige risici, der er identificeret indtil videre.

Hurtig injektion og skjulte instruktioner

Den såkaldte prompt injection består af at skjule ondsindede instruktioner på selve websiden, i tilsyneladende uskadelige tekstfragmenter, i skjult HTML, i forumkommentarer, i markdown-tags og endda i billeder, der derefter behandles via OCR.

Når brugeren beder agenten om at opsummere, analysere eller interagere med den pågældende side, kan modellen fortolke disse instruktioner som legitime brugerkommandoer og udføre dem med alle sessionens rettigheder: navigere til nye URL'er, klikke på knapper, kopiere private data, udfylde formularer eller offentliggøre følsomme oplysninger.

Et praktisk eksempel er blevet dokumenteret af Brave med Perplexity Comet: en bruger åbner en Reddit-tråd, der skjuler et sæt ondsindede kommandoer i en "spoiler"-tekst . Når brugeren klikker på knappen "genoptag-side" med agenten aktiveret, gør browseren følgende:

• Få adgang til Perplexity-kontoindstillingerne, og hent brugerens e-mail.
• Simuler et login til generer en OTP-kode verifikation.
• Åbn Gmail (hvis du allerede er logget ind), find beskeden med koden, og læs den.
• Opslag i selve Reddit-tråden brugerens e-mail og engangskodenog efterlader den i angriberens synsfelt.

Alt dette sker udelukkende via tekst, uden behov for ondsindede scripts eller lavniveau-angreb , og med et enkelt klik fra brugeren. Det er sidens indhold, der "programmerer" agenten til at misbruge sine tilladelser.

Udklipsholderindsprøjtning og OCR

En anden vektor, der vinder frem, er manipulation af udklipsholder . Traditionel malware udnytter det allerede til at ændre kryptovalutaadresser eller opsnappe legitimationsoplysninger; i forbindelse med en AI-drevet browser kan agenten læse det, du kopierer, og handle i overensstemmelse hermed, eller endda indsætte ændret indhold tilbage uden at du bemærker det.

Endnu mere sofistikeret er brugen af ​​skjulte instruktioner i billeder, der behandles af OCR . Browseren kan læse tekst indlejret i grafik eller skærmbilleder, og hvis en angriber skjuler kommandoer i pixels, der ikke bemærkes af det menneskelige øje, men ikke af genkendelsessystemet, kan agenten udføre dem, som om de var en legitim del af siden.

I begge tilfælde er problemet det samme: modellen skelner ikke robust mellem "beskrivende" indhold og "instruktionsmæssigt" indhold og har en tendens til at adlyde alt, der lyder som en ordre, især hvis det er formateret overbevisende.

Eksponering og misbrug af personlige og følsomme data

AI-drevne browsere inkluderer ofte intelligente funktioner til automatisk udfyldning eller formularhåndtering, der går ud over traditionel automatisk udfyldning. Hvis en ondsindet side efterligner en legitim formular (f.eks. fra en bank, et socialt netværk eller en SaaS-udbyder), og agenten mener, at det burde "spare dig tid", kan den indtaste data såsom dit fulde navn, adresse, telefonnummer eller endda interne virksomhedsidentifikatorer uden eksplicit at anmode om bekræftelse.

Hvis browseren desuden har tilladelse til at se alle åbne eller seneste faner , mangedobles risikoen: angriberen kan samtidig bruge oplysninger fra din e-mail, kalender, kontakter, virksomhedens CRM-system eller projektstyringssystem til at udføre en opgave og dermed udvide omfanget af et databrud. Selvom dette kan være nyttigt til legitime formål, bliver det i en angribers hænder en guldgrube af følsomme data.

I forretningsmiljøer forværres problemet. AI-drevne browserudvidelser, integreret i arbejdsgange, anmoder ofte om meget brede tilladelser : læsning og ændring af indholdet på alle websteder, adgang til cookies og sessioner, interaktion med API'er osv. Denne kombination er perfekt til at stjæle intellektuel ejendom, finansielle rapporter, igangværende design, kildekode eller fortrolige samtaler.

Vedvarende sessioner og kontokapring

En moderne browser holder adskillige godkendte sessioner åbne : e-mail, cloud-lagring, sociale netværk, netbank, arbejdsværktøjer, administrationspaneler… Hvis agenten har mulighed for at interagere med alle disse tjenester, og sessionen desuden ikke udløber eller genbruges på ubestemt tid, kan en angriber udnytte enhver vellykket injektion til at udføre kædehandlinger uden at skulle kompromittere brugeren igen.

Dette åbner døren for sessionskapning og laterale bevægelsesangreb : Når agenten er blevet narret, kan den downloade eller slette filer, ændre indstillinger, tilføje SSH-nøgler til arkiver, ændre poster i et CRM eller godkende indkøbsordrer, alt sammen fra konteksten af ​​forskellige tjenester, hvor brugeren allerede var logget ind.

Phishing, misinformation og manglende gennemsigtighed i handlinger

AI-drevne browsere er også særligt sårbare over for "usynlige" phishing-kampagner . Selve AI-agenten kan bruges til at besøge falske sider, udfylde godkendelsesformularer eller bekræfte transaktioner uden at brugeren nogensinde ser selve brugerfladen, kun et "venligt" resumé genereret af modellen.

Derudover komplicerer systemer, der transformerer indhold, før det vises til brugeren, detektionen af ​​falske websteder: AI kan blødgøre advarselssignaler, omarrangere elementer og endda generere plausible forklaringer , der gør det sværere at skelne et legitimt websted fra en kopi, der er designet til at stjæle loginoplysninger.

En anden mindre håndgribelig, men lige så alvorlig risiko er modtagelighed for misinformation og manipuleret indhold . En dårligt konfigureret model, eller en model der er trænet med forgiftede data, kan prioritere forudindtagede kilder, udelade advarsler eller generere svar, der forstærker falske fortællinger. Hvis browseren bruges i vid udstrækning til nyhedsindsamling, kan indvirkningen på virkelighedsopfattelser eller på kritiske beslutninger (f.eks. investering, sundhed, politik) være betydelig.

I alle disse tilfælde eksisterer der et fælles problem: uigennemsigtigheden af ​​agentens handlinger . Mange interaktioner sker "under motorhjelmen", uden at brugeren ser præcis hvilke faner der er åbne, hvilke data der er blevet kopieret, eller hvilke knapper der er blevet trykket på. Dette gør det vanskeligt at revidere, tildele det juridiske ansvar (var det brugeren eller AI'en?) og opdage unormal adfærd tidligt.

Omnibox, forklædte kommandoer og nul-klik-angreb

Omniboksen, eller den enkelte adresse- og søgelinje, en funktion i moderne browsere, tilføjer sit eget lag af fare. I et AI-kontrolleret scenario kan en ondsindet kommando være forklædt som en uskyldig URL eller søgeforespørgsel . Hvis modellen analyserer det, du skriver, og forsøger at "hjælpe" dig ved direkte at udføre handlinger, kan den ende med at navigere dig til angriberkontrollerede websteder eller køre uønskede sekvenser af opgaver.

I mellemtiden viser eksplosionen af ​​zero-click -sårbarheder i AI-økosystemer, at direkte interaktion nogle gange ikke engang er nødvendig: blot at modtage en e-mail, en kalenderinvitation eller en besked på en platform integreret med agenten er nok til at udløse ondsindet logik. Eksempler som EchoLeak i Microsoft 365 Copilot viser, hvordan en angriber ved at udnytte automatiske billeduploads, Markdown-fortolkninger og interne proxyer kan eskalere privilegier og stjæle data uden brugerindgriben.

Denne type angreb er ikke begrænset til store kontorpakker: enhver browser med en AI-agent, der er udsat for webmail, beskeder eller administrationspaneler, kan blive et offer, hvis modellen automatisk interagerer med det modtagne indhold.

AI-drevne udvidelser, forsyningskæde og Shadow AI

Udover "officielle" browsere med indbygget AI er der en spredning af browserudvidelser drevet af sprogmodeller , der lover øjeblikkelig produktivitet: skriveassistenter, sentimentdetektorer, avanceret autofuldførelse, møderesuméer og så videre. Disse udvidelser anmoder ofte om meget påtrængende tilladelser og sender i mange tilfælde data til uigennemsigtige eksterne tjenester.

Denne situation skaber en eksplosiv cocktail af sårbarheder i forsyningskæden : tredjepartsbiblioteker, ukontrollerede API'er, inferensservere placeret i andre lande, ukontrollerede automatiske opdateringer... En oprindeligt legitim udvidelse kan købes af en ondsindet aktør og opdateres i stilhed for at indsamle følsomme data eller plante malware i virksomhedsmiljøer.

Alt dette forværres af skygge-AI , det vil sige brugen af ​​disse værktøjer uden IT-afdelingens godkendelse eller synlighed. Velmenende medarbejdere, der installerer AI-udvidelser for at arbejde hurtigere, kan ubevidst eksportere oplysninger beskyttet af GDPR, HIPAA eller PCI DSS til tredjepartsudbydere, der ikke opfylder de krævede juridiske eller sikkerhedsmæssige standarder.

Indvirkning på privatlivets fred, overholdelse af regler og cyberkriminalitet

Den direkte konsekvens af dette nye scenarie er en dramatisk stigning i risiciene for privatlivets fred og forretningshemmeligheder . En dårligt administreret AI-browser eller -udvidelse kan indfange bøger, abonnementsbaserede videnskabelige artikler, udkast til finansielle rapporter, strategiske planer, proprietær kode eller kundedata uden at nogen bemærker det.

I hjemmemiljøet har vi allerede set specifikke problemer: ChatGPT viste endda uddrag af andre brugeres chats på grund af en teknisk fejl, og funktionen til deling af samtaler genererede URL'er, der kan indekseres af søgemaskiner, hvilket efterlod tusindvis af private samtaler synlige for alle. Det er nemt at forestille sig, hvad der kunne ske, når assistenten har fuld adgang til webtrafik og lokale filer.

I erhvervslivet kan eksponering af intellektuel ejendomsret eller lovgivningsmæssige data føre til bøder på millionniveau, tab af konkurrencefordele og omdømmeskade . Hvis en mødetransskriptionsudvidelse gemmer samtaler med følsomme klienter på tredjepartsservere, eller hvis en AI-browser bruger fortrolige økonomiske oplysninger til at træne modeller, kan organisationen overtræde GDPR, CCPA, HIPAA eller andre brancheregler.

Samtidig udnytter cyberkriminelle netop de muligheder, som virksomheder søger. AI-assisteret ransomware og polymorf malware er allerede blevet observeret i naturen: familier som PromptLock genererer scripts on-the-fly for at navigere gennem Windows-, macOS- eller Linux-systemer, undgå at blive opdaget og kryptere data. Såkaldte "Dark LLMs" - åbne modeller modificeret til kriminelle formål - muliggør automatisering af rekognoscering, tyveri af legitimationsoplysninger og hele indtrængningskampagner.

Nyere forskning har vist, at LLM'er (Latinske Læreprogrammer), der er integreret i virksomheders arbejdsgange, kan tvinges til at installere malware, udtrække data eller manipulere resultater blot gennem veldesignede prompts eller forgiftede træningsdata. Efterhånden som AI-drevne browsere bliver den primære grænseflade til internettet, vil denne trussel udvides til stort set alle onlineaktiviteter.

Implementerede afbødende foranstaltninger og anbefalinger til reduktion af risici

Leverandører af AI-browsere begynder at reagere. Ud over de begrænsninger, der allerede er diskuteret i Atlas, har Brave foreslået specifikke bedste praksisser til at afbøde prompt injection-angreb og agentmisbrug:

• Skeln tydeligt mellem brugerkommandoer og webtekstundgå at blande begge dele i den samme instruktionskanal til modellen.
• Kræve Eksplicit bekræftelse af enhver følsom handling (køb, konfigurationsændringer, pengeoverførsler, adgang til e-mails).
• Isoler Avancerede funktioner i den grundlæggende navigationsagentsåledes at blot at besøge en side ikke indebærer muligheden for at handle automatisk.
• behandle alt webindhold som standard som ikke-tillidsfuldt, der kræver klare signaler om brugerens intention, før handlinger udføres.

I mellemtiden tilbyder nogle virksomheder, såsom OpenAI, detaljeret synlighed og hukommelseskontrol : blokering af AI i bestemte domæner, deaktivering af brugen af ​​data til træning som standard, tillader brugeren at slette samtaler og minder, når de vil, eller kræver manuelle godkendelser på websteder, der anses for kritiske.

Fra brugervirksomhedens perspektiv er der en række grundlæggende hygiejneforanstaltninger , der bør implementeres hurtigst muligt:

• Klar politik for brug af AIHvilke browsere og udvidelser er tilladt, hvilke data de må behandle, og under hvilke betingelser.
• Løbende træning af medarbejdere, der forklarer Risici ved prompt injection, AI-målrettet phishing og databrud.
• Anvendelse af virtualiserede eller isolerede miljøer (VDI, sandkasser) til opgaver med høj risiko, så en hændelse er lettere at inddæmme.
• Implementering af browsercentrerede sikkerhedsløsninger der overvåger udvidelser, unormal adfærd og dataeksfiltrering.

En "ideel AI-browser" bør ifølge eksperter give brugerne mulighed for at aktivere eller deaktivere intelligent behandling på hvert enkelt websted med et enkelt klik, isolere modellens kontekst på tværs af domæner, altid bekræfte indtastning af følsomme data, begrænse filadgang efter operativsystem og endda give brugerne mulighed for at vælge lokale modeller uden at sende data til skyen. Ingen af ​​de nuværende produkter opfylder endnu alle disse krav, hvilket gør det vigtigt at supplere dem med eksterne sikkerhedslag.

Det landskab, som browsere med AI-agenter præsenterer, er lige så kraftfuldt, som det er følsomt: Hvis de håndteres godt, kan de demokratisere avanceret automatisering i hverdagen; hvis de forsømmes, kan de blive angribernes foretrukne værktøj . Nøglen vil være, hvordan tekniske foranstaltninger udvikler sig (isolering, brugerkontroller, injektionsdetektion), og hvor meget organisationer og enkeltpersoner investerer i at forstå præcis, hvad denne "assistent", der nu bor i deres browser, gør.