- Naršyklės su integruotais dirbtinio intelekto agentais išplečia atakų paviršių, veikdamos su tais pačiais leidimais ir vartotojų sesijomis.
- Greitas įskiepijimas, manipuliavimas iškarpine ir OCR metodai leidžia užpuolikams manipuliuoti agentu, kad būtų galima išgauti duomenis ir atlikti nepageidaujamus veiksmus.
- Plėtinių derinys su dirbtiniu intelektu (DI), šešėliniu DI ir jautriais duomenimis kelia rimtų privatumo ir atitikties problemų tiek vartotojams, tiek įmonėms.
- Rizikai mažinti reikalingos griežtos kontrolės priemonės pačioje naršyklėje, aiškios dirbtinio intelekto naudojimo politikos ir papildomi žiniatinkliui skirti saugumo sprendimai.
Naršyklių su integruotais dirbtinio intelekto agentais banga jau čia: „OpenAI“ „Atlas“, „Perplexity“ „Comet“, „Brave“ su „Leo“, „Chrome“ su „Gemini“, „Edge“ su „Copilot“, „Firefox“ su išmaniosiomis funkcijomis... ir dar daugiau. Ši naujos kartos programinė įranga žada, kad nustosime tiesiog „naršyti“ ir pradėsime nurodyti mašinai, ką norime, kad ji darytų: skaitytų už mus, pildytų formas, valdytų pirkimus ar net automatizuotų sudėtingas užduotis internete.
Tačiau šis patogumas turi ir tamsiąją pusę: pati naršyklė tampa autonominiu agentu, turinčiu prieigą prie jūsų leidimų , atidarytų sesijų, failų ir daugeliu atvejų jūsų asmeninių ar įmonės duomenų. Jei kas nors negerai – nesvarbu, ar dėl projektavimo trūkumų, saugumo spragų, ar gerai suplanuotos atakos – poveikis gali būti daug didesnis nei tradicinės naršyklės ar paprasto debesijos pagrindu veikiančio pokalbių roboto.
Dirbtinio intelekto valdoma naršyklė iš esmės yra „įprasta“ naršyklė su giliai integruotu kalbos modeliu , kuris mato jūsų lankomus puslapius, supranta jų turinį ir yra įgaliotas atlikti veiksmus taip, lyg tai būtų vartotojas. Ji ne tik apibendrina svetainę: ji gali spustelėti mygtukus, pildyti formas, atsisiųsti failus, tvarkyti skirtukus arba sąveikauti su paslaugomis, prie kurių jau esate prisijungę.
Tai labai skiriasi nuo klasikinio pokalbių roboto naudojimo kitame skirtuke, kur kopijuojamas ir įklijuojamas turinys: dabar agentas yra naršyklės „viduje“ , turėdamas tiesioginę prieigą prie jūsų naršymo konteksto, atidarytų sesijų ir galbūt vietinių failų ar kitų sistemos išteklių.
Ši architektūra ypač patraukli didelėms technologijų įmonėms. „Perplexity“ pristatė savo „Comet“ naršyklę ir netgi svarstė įsigyti „Chrome“ , o „Google“ ir „Microsoft“ tiesiogiai diegia savo „Gemini“ ir „Copilot“ modelius į „Chrome“ ir „Edge“. Savo ruožtu „OpenAI“ pristatė „ChatGPT Atlas“ kaip savo „Chromium“ pagrindu sukurtą naršyklę su dirbtinio intelekto sluoksniu, kuris veikia atskirais procesais, siekiant sumažinti riziką.
Verslo motyvacija aiški: milijonai vartotojų, nuolatinis naudojimas ir daugybė duomenų . Tokia naršyklė sukuria milžinišką vartotojų lojalumą ( naršykles sunku keisti, todėl įprasta naudoti kelias naršykles ) ir, be to, siūlo telemetriją apie visą interneto srautą ir tai, kaip vartotojai sąveikauja su tinklu, o tai itin vertinga mokant modelius, testuojant naujas funkcijas ir mažinant infrastruktūros išlaidas, perkeliant dalį darbo į pačių vartotojų įrenginius.
„OpenAI Atlas“: pagrindinės funkcijos ir pradinės saugumo ribos
2025 m. spalio 21 d. „OpenAI“ išleido pirmąją viešą „ChatGPT Atlas“ versiją, skirtą „macOS“ – dirbtinio intelekto valdomą naršyklę, kuri, anot bendrovės, bus išplėsta į „Windows“, „Android“ ir „iOS“. Idėja yra ta, kad navigacija „būtų“ „ChatGPT“: vartotojui nebereikia kopijuoti ir įklijuoti teksto, kad modelis jį apdorotų, o vietoj to tiesiogiai prašo užduočių peržiūrimame puslapyje.
Siekdama sumažinti riziką, „OpenAI“ įdiegė keletą techninių apribojimų, specialiai sukurtų naršyklės agentui . „Atlas“ pagrįstas „Chromium“, tačiau dirbtinis intelektas veikia atskirais procesais, integruotais į tai, ką jie vadina „OpenAI“ žiniatinklio sluoksniu (OWL). Remiantis pradine dokumentacija, agentas:
- Negalite paleisti kodo ar įdiegti plėtinių. savarankiškai
- Jam trūksta pajėgumų atsisiųsti failus atskirai arba pasiekti kitas vietines programas.
- Jis nei mato, nei naudoja išsaugoti slaptažodžiai nei automatiškai užbaigti duomenys naršyklė.
- Jūs negalite pasiekti Įrenginio informacija, nepatenkanti į jos taikymo sritį navigacija.
Kalbant apie privatumą, „OpenAI“ žada „numatytoji privatumo“ principą: sąveika su „Atlas“ nenaudojama modeliams mokyti, nebent vartotojas tam aiškiai pritaria. Be to, naršyklės atmintis – galimybė įsiminti puslapius ir kontekstus – pagal numatytuosius nustatymus yra išjungta ir turi būti įjungta rankiniu būdu.
Vartotojas taip pat gali ištrinti istoriją ir prisiminimus , apibrėžti, su kuriomis svetainėmis „ChatGPT“ gali sąveikauti, arba net visiškai užblokuoti dirbtinį intelektą vienu spustelėjimu. Svarbiose svetainėse, tokiose kaip bankai ar jautrios paslaugos, „Atlas“ reikalauja rankinio patvirtinimo prieš agentui atliekant veiksmą , kad būtų išvengta nepageidaujamų operacijų ar automatinių finansinių pervedimų.
Šios apsaugos priemonės yra žingsnis teisinga linkme, tačiau jos nepašalina pagrindinės problemos: dirbtinio intelekto valdoma naršyklė yra daug galingesnė nei klasikinė naršyklė , ir vieno pažeidžiamumo, netinkamos konfigūracijos ar dizaino sprendimo pakanka, kad ji taptų labai pelningu atakų vektoriumi.
Dirbtinio intelekto integravimas sukuria visiškai naują atakų paviršių. Kalbame ne tik apie klasikines naršyklės klaidas, bet ir apie kalbos modelio, interneto turinio ir automatizuotų veiksmų sąveikos trūkumus . Tai yra didžiausios iki šiol nustatytos rizikos.
Greita injekcija ir paslėptos instrukcijos
Vadinamoji greitoji injekcija – tai kenkėjiškų instrukcijų slėpimas pačiame tinklalapyje, iš pažiūros nekenksminguose teksto fragmentuose, paslėptame HTML, forumų komentaruose, „markdown“ žymose ir net vaizduose, kurie vėliau apdorojami naudojant OCR.
Kai vartotojas paprašo agento apibendrinti, išanalizuoti arba sąveikauti su tuo puslapiu, modelis gali interpretuoti šias instrukcijas kaip teisėtas vartotojo komandas ir vykdyti jas su visomis savo sesijos privilegijomis: naršyti po naujus URL, spustelėti mygtukus, kopijuoti privačius duomenis, pildyti formas arba skelbti neskelbtiną informaciją.
Praktinį pavyzdį „Brave“ pateikė su „Perplexity Comet“: vartotojas atidaro „Reddit“ giją, kurioje „spoilerio“ tekste slepiasi kenkėjiškų komandų rinkinys . Kai vartotojas, įjungęs agentą, paspaudžia mygtuką „tęsti puslapį“, naršyklė:
- Pasiekite „Perplexity“ paskyros nustatymus ir gaukite vartotojo el. pašto adresą.
- Prisijungimo imitavimas sugeneruoti OTP kodą Patikrinimas
- Atidarykite „Gmail“ (jei jau esate prisijungę), suraskite pranešimą su kodu ir jį perskaitykite.
- Įrašas pačioje „Reddit“ temoje vartotojo el. pašto adresas ir vienkartinis slaptažodis, palikdamas jį užpuoliko matymo lauke.
Visa tai vyksta tik per tekstą, nereikalaujant kenkėjiškų scenarijų ar žemo lygio spragų išnaudojimo , ir vienu vartotojo spustelėjimu. Būtent puslapio turinys „užprogramuoja“ agentą piktnaudžiauti savo leidimais.
Įterpimas į iškarpinę ir OCR
Kitas vis labiau populiarėjantis vektorius yra iškarpinių manipuliavimas . Tradicinė kenkėjiška programa jau naudojasi šia funkcija, kad pakeistų kriptovaliutų adresus arba perimtų prisijungimo duomenis; dirbtinio intelekto valdomoje naršyklėje agentas gali perskaityti jūsų nukopijuotą informaciją ir atitinkamai veikti arba netgi įklijuoti pakeistą turinį jums to nepastebint.
Dar sudėtingesnis yra paslėptų instrukcijų naudojimas vaizduose, apdorojamuose OCR . Naršyklė gali nuskaityti grafikoje ar ekrano kopijose įterptą tekstą, o jei užpuolikas paslepia komandas pikseliuose, kurių nepastebi žmogaus akis, bet ne atpažinimo sistema, agentas gali jas vykdyti taip, tarsi jos būtų teisėta puslapio dalis.
Abiem atvejais problema ta pati: modelis neatskiria „aprašomojo“ turinio nuo „instruktyvaus“ turinio ir yra linkęs paklusti viskam, kas skamba kaip įsakymas, ypač jei jis suformatuotas įtikinamai.
Asmeninių ir neskelbtinų duomenų atskleidimas ir netinkamas naudojimas
Dirbtiniu intelektu paremtos naršyklės dažnai turi išmaniąsias automatinio pildymo arba formų valdymo funkcijas, kurios pranoksta tradicinį automatinį pildymą. Jei kenkėjiškas puslapis imituoja teisėtą formą (pavyzdžiui, iš banko, socialinio tinklo ar SaaS teikėjo) ir agentas mano, kad tai turėtų „sutaupyti jūsų laiką“, jis gali įvesti tokius duomenis kaip jūsų vardas ir pavardė, adresas, telefono numeris ar net vidiniai įmonės identifikatoriai, aiškiai neprašydamas patvirtinimo.
Jei naršyklė taip pat turi leidimą peržiūrėti visus atidarytus arba neseniai naudotus skirtukus , rizika padidėja kelis kartus: užpuolikas gali vienu metu naudoti informaciją iš jūsų el. pašto, kalendoriaus, kontaktų, įmonės CRM ar projektų valdymo sistemos užduočiai atlikti, taip padidindamas duomenų pažeidimo apimtį. Nors tai gali būti naudinga teisėtais tikslais, užpuoliko rankose tai tampa jautrių duomenų aukso kasykla.
Verslo aplinkoje problema dar labiau paaštrėja. Dirbtinio intelekto valdomi naršyklės plėtiniai, integruoti į darbo eigas, dažnai prašo labai plačių leidimų : skaityti ir modifikuoti visų svetainių turinį, pasiekti slapukus ir sesijas, sąveikauti su API ir pan. Šis derinys puikiai tinka intelektinei nuosavybei, finansinėms ataskaitoms, kuriamiems projektams, šaltinio kodui ar konfidencialiems pokalbiams vogti.
Nuolatiniai seansai ir paskyros užgrobimas
Šiuolaikinė naršyklė palaiko daugybę atidarytų autentifikuotų sesijų : el. paštą, debesies saugyklą, socialinius tinklus, internetinę bankininkystę, darbo įrankius, administravimo skydelius... Jei agentas gali sąveikauti su visomis šiomis paslaugomis ir, be to, sesija nesibaigia arba yra pakartotinai naudojama neribotą laiką, užpuolikas gali pasinaudoti bet kokia sėkminga injekcija, kad atliktų grandinės veiksmus , nereikėdamas iš naujo pažeisti vartotojo.
Tai atveria duris sesijos užgrobimui ir šoninio judėjimo atakoms : apgautas agentas gali atsisiųsti arba ištrinti failus, keisti nustatymus, pridėti SSH raktus prie saugyklų, modifikuoti įrašus CRM sistemoje arba patvirtinti pirkimo užsakymus – visa tai iš skirtingų paslaugų, prie kurių vartotojas jau buvo prisijungęs.
Sukčiavimas apsimetant, dezinformacija ir skaidrumo stoka veiksmuose
Dirbtinio intelekto valdomos naršyklės taip pat yra ypač pažeidžiamos „nematomų“ sukčiavimo kampanijų . Pats DI agentas gali būti naudojamas apgaulingiems puslapiams lankyti, autentifikavimo formoms užpildyti arba operacijoms patvirtinti, vartotojui net nematant tikrosios sąsajos, tik modelio sugeneruotą „draugišką“ santrauką.
Be to, sistemos, kurios transformuoja turinį prieš jį parodydamos vartotojui, apsunkina netikrų svetainių aptikimą: dirbtinis intelektas gali sušvelninti įspėjamuosius signalus, pertvarkyti elementus ir netgi generuoti įtikinamus paaiškinimus, dėl kurių sunkiau atskirti teisėtą svetainę nuo kopijos, skirtos pavogti prisijungimo duomenis.
Kita mažiau apčiuopiama, bet ne mažiau rimta rizika yra jautrumas dezinformacijai ir manipuliuojamam turiniui . Prastai sukonfigūruotas modelis arba apmokytas naudojant užterštus duomenis gali teikti pirmenybę šališkiems šaltiniams, praleisti įspėjimus arba generuoti atsakymus, kurie sustiprina klaidingus naratyvus. Jei naršyklė plačiai naudojama naujienoms rinkti, poveikis realybės suvokimui ar svarbiems sprendimams (pvz., investicijoms, sveikatai, politikai) gali būti didelis.
Visais šiais atvejais egzistuoja bendra problema: agento veiksmų neskaidrumas . Daugelis sąveikų vyksta „po gaubtu“, vartotojui tiksliai nematant, kurie skirtukai atidaryti, kokie duomenys nukopijuoti ar kurie mygtukai paspausti. Dėl to sunku atlikti auditą, priskirti teisinę atsakomybę (ar tai buvo vartotojas, ar dirbtinis intelektas?) ir anksti aptikti anomalų elgesį.
„Omnibox“, užmaskuotos komandos ir nulinio paspaudimo išnaudojimai
„Omnibox“, arba vieno adreso ir paieškos juosta, šiuolaikinių naršyklių funkcija, prideda savotišką pavojaus lygį. Dirbtinio intelekto valdomame scenarijuje kenkėjiška komanda gali būti užmaskuota kaip nekaltas URL arba paieškos užklausa . Jei modelis analizuoja jūsų įvedamą tekstą ir bando jums „padėti“ tiesiogiai vykdydamas veiksmus, jis gali nukreipti jus į užpuolikų kontroliuojamas svetaines arba vykdyti nepageidaujamas užduočių sekas.
Tuo tarpu dirbtinio intelekto ekosistemų pažeidžiamumų be paspaudimų skaičiaus sprogimas rodo, kad kartais tiesioginė sąveika net nebūtina: pakanka tiesiog gauti el. laišką, kalendoriaus kvietimą ar pranešimą platformoje, integruotoje su agentu, kad būtų suaktyvinta kenkėjiška logika. Tokie pavyzdžiai kaip „EchoLeak“ „Microsoft 365 Copilot“ sistemoje rodo, kaip užpuolikas, pasinaudodamas automatiniu vaizdų įkėlimu, „Markdown“ interpretacijomis ir vidiniais tarpiniais serveriais , gali padidinti teises ir išgauti duomenis be jokio vartotojo įsikišimo.
Šio tipo atakos neapsiriboja dideliais biuro programų paketais: bet kuri naršyklė su dirbtinio intelekto agentu, veikiančiu žiniatinklio pašto, pranešimų ar administravimo skyduose, gali tapti auka, jei modelis automatiškai sąveikauja su gautu turiniu.
Dirbtiniu intelektu paremti plėtiniai, tiekimo grandinė ir šešėlinis dirbtinis intelektas
Be „oficialių“ naršyklių su integruotu dirbtiniu intelektu, gausu naršyklės plėtinių, paremtų kalbos modeliais , kurie žada greitą produktyvumą: rašymo asistentai, nuotaikų detektoriai, išplėstinis automatinis užbaigimas, susitikimų santraukos ir pan. Šie plėtiniai dažnai prašo labai įkyrių leidimų ir daugeliu atvejų siunčia duomenis neskaidrioms išorinėms paslaugoms.
Ši situacija sukuria sprogstamąjį tiekimo grandinės pažeidžiamumų kokteilį : trečiųjų šalių bibliotekas, neaudituotas API sąsajas, išvadų serverius, esančius kitose šalyse, nekontroliuojamus automatinius atnaujinimus... Iš pradžių teisėtą plėtinį gali įsigyti kenkėjiškas veikėjas ir tyliai atnaujinti, kad rinktų jautrius duomenis arba diegtų kenkėjiškas programas įmonių aplinkoje.
Visa tai dar labiau apsunkina šešėlinis dirbtinis intelektas , t. y. šių įrankių naudojimas be IT skyriaus pritarimo ar matomumo. Geranoriški darbuotojai, kurie įdiegia dirbtinio intelekto plėtinius, kad dirbtų greičiau, gali nesąmoningai eksportuoti BDAR, HIPAA arba PCI DSS saugomą informaciją trečiųjų šalių teikėjams, kurie neatitinka reikiamų teisinių ar saugumo standartų.
Poveikis privatumui, atitikčiai reglamentams ir kibernetiniams nusikaltimams
Tiesioginė šio naujo scenarijaus pasekmė – smarkiai išaugusi rizika asmens privatumui ir verslo konfidencialumui . Prastai valdoma dirbtinio intelekto naršyklė ar plėtinys gali niekam nepastebint užfiksuoti knygas, prenumeratos pagrindu sudarytus mokslinius straipsnius, finansinių ataskaitų juodraščius, strateginius planus, nuosavybės kodą ar klientų duomenis.
Namų aplinkoje jau matėme konkrečių problemų: „ChatGPT“ dėl techninės klaidos netgi rodė kitų vartotojų pokalbių ištraukas , o pokalbių bendrinimo funkcija sugeneravo URL adresus, kuriuos galėjo indeksuoti paieškos sistemos, todėl tūkstančiai privačių pokalbių tapo matomi visiems. Lengva įsivaizduoti, kas galėtų nutikti, kai asistentas turėtų visišką prieigą prie interneto srauto ir vietinių failų.
Verslo pasaulyje intelektinės nuosavybės ar reguliavimo duomenų atskleidimas gali užtraukti kelių milijonų dolerių baudas, konkurencinio pranašumo praradimą ir žalą reputacijai . Jei susitikimų transkripcijos plėtinys saugo pokalbius su jautriais klientais trečiųjų šalių serveriuose arba jei dirbtinio intelekto naršyklė naudoja konfidencialią finansinę informaciją modeliams mokyti, organizacija gali pažeisti BDAR, CCPA, HIPAA ar kitus pramonės reglamentus.
Tuo pačiu metu kibernetiniai nusikaltėliai naudojasi būtent tomis galimybėmis, kurių ieško įmonės. Dirbtinio intelekto pagalba vykdomos išpirkos reikalaujančios ir polimorfinės kenkėjiškos programos jau pastebėtos praktiškai: tokios šeimos kaip „PromptLock“ generuoja scenarijus, kad galėtų judėti „Windows“, „macOS“ ar „Linux“ sistemose, išvengti aptikimo ir užšifruoti duomenis. Vadinamieji „tamsieji LLM“ – atviri modeliai, modifikuoti nusikalstamais tikslais – leidžia automatizuoti žvalgybą, kredencialų vagystes ir ištisas įsilaužimo kampanijas.
Naujausi tyrimai parodė, kad į įmonių darbo eigą integruoti teisės magistro (LLM) specialistai gali būti priversti diegti kenkėjiškas programas, išgauti duomenis ar manipuliuoti rezultatais tiesiog naudojant gerai parengtus raginimus ar užterštus mokymo duomenis. Dirbtinio intelekto valdomoms naršyklėms tampant pagrindine interneto sąsaja, ši grėsmė išplis praktiškai į kiekvieną veiklą internete.
Įgyvendintos rizikos mažinimo priemonės ir rekomendacijos
Dirbtinio intelekto naršyklių tiekėjai pradeda reaguoti. Be apribojimų, jau aptartų „Atlas“, „Brave“ pasiūlė konkrečius geriausios praktikos pavyzdžius , kaip sušvelninti greito įpurškimo atakas ir agentų piktnaudžiavimą:
- Aiškiai atskirkite vartotojo komandas nuo žiniatinklio tekstovengiant abiejų sumaišymo tame pačiame modelio instrukcijų kanale.
- Reikalauti Aiškus bet kokio jautraus veiksmo patvirtinimas (pirkimai, konfigūracijos pakeitimai, pinigų pervedimai, prieiga prie el. laiškų).
- Izoliuokite išplėstinės pagrindinio navigacijos agento funkcijoskad vien apsilankymas puslapyje nereiškia galimybės veikti automatiškai.
- Pabandyk visas žiniatinklio turinys pagal numatytuosius nustatymus yra nepatikimas, reikalaujant aiškių naudotojo ketinimų signalų prieš atliekant veiksmus.
Tuo tarpu kai kurios įmonės, pavyzdžiui, „OpenAI“, siūlo detalų matomumo ir atminties valdymą : blokuoja dirbtinį intelektą tam tikrose srityse, pagal numatytuosius nustatymus išjungia duomenų naudojimą mokymui, leidžia vartotojui bet kada ištrinti pokalbius ir prisiminimus arba reikalauja rankinio patvirtinimo svetainėse, kurios laikomos svarbiomis.
Naudotojo įmonės požiūriu, yra keletas pagrindinių higienos priemonių , kurias reikėtų įgyvendinti kuo greičiau:
- Aiški dirbtinio intelekto naudojimo politika: kurios naršyklės ir plėtiniai leidžiami, kokius duomenis jie gali apdoroti ir kokiomis sąlygomis.
- Nuolatiniai darbuotojų mokymai, kuriuose paaiškinama, Greito įskiepijimo, dirbtinio intelekto sukčiavimo ir duomenų nutekėjimo rizika.
- Naudojimas virtualizuotos arba izoliuotos aplinkos (VDI, smėlio dėžės) didelės rizikos užduotims, kad incidentą būtų lengviau suvaldyti.
- Įgyvendinimas naršyklėms skirti saugumo sprendimai kurie stebi plėtinius, anomalų elgesį ir duomenų nutekėjimą.
Pasak ekspertų, „ideali dirbtinio intelekto naršyklė“ turėtų leisti vartotojams vienu spustelėjimu įjungti arba išjungti intelektualųjį apdorojimą kiekvienoje svetainėje , izoliuoti modelio kontekstą skirtinguose domenuose, visada patvirtinti slaptų duomenų įvedimą, apriboti prieigą prie failų pagal operacinę sistemą ir netgi leisti vartotojams pasirinkti vietinius modelius nesiunčiant duomenų į debesį. Nė vienas iš dabartinių produktų dar neatitinka visų šių reikalavimų, todėl būtina juos papildyti išoriniais saugumo sluoksniais.
Naršyklių su dirbtinio intelekto agentais kuriama aplinka yra tokia pat galinga, kaip ir subtili: jei jos tinkamai valdomos, jos gali demokratizuoti pažangią automatizaciją kasdieniame gyvenime; jei jos ignoruojamos, jos gali tapti užpuolikų mėgstamiausiu įrankiu . Svarbiausia bus tai, kaip vystysis techninės priemonės (izoliacija, naudotojų kontrolė, injekcijų aptikimas) ir kiek organizacijos bei asmenys investuos, kad suprastų, ką tiksliai veikia šis „asistentas“, dabar gyvenantis jų naršyklėje.
