- Претраживачи са интегрисаним АИ агентима проширују површину напада радећи са истим дозволама и корисничким сесијама.
- Брзо убризгавање, манипулација међуспремником и OCR технике омогућавају нападачима да манипулишу агентом како би украли податке и извршили нежељене радње.
- Комбинација екстензија са вештачком интелигенцијом, сенчаном вештачком интелигенцијом и осетљивим подацима излаже и кориснике и компаније озбиљним проблемима са приватношћу и усклађеношћу.
- Ублажавање ризика захтева строге контроле унутар самог прегледача, јасне политике коришћења вештачке интелигенције и додатна безбедносна решења усмерена на веб.
Талас прегледача са интегрисаним AI агентима је већ стигао: OpenAI-јев Atlas, Perplexity-јев Comet, Brave са Leo-ом, Chrome са Gemini-јем, Edge са Copilot-ом, Firefox који укључује паметне функције… и још много тога тек долази. Ова нова генерација софтвера обећава да ћемо престати само да „прегледамо“ и почети да говоримо машини шта желимо да ради: да чита уместо нас, попуњава обрасце, управља куповинама или чак аутоматизује сложене задатке на вебу.
Међутим, ова погодност има и мрачну страну: сам прегледач постаје аутономни агент са приступом вашим дозволама , отвореним сесијама, датотекама и, у многим случајевима, вашим личним или корпоративним подацима. Ако нешто крене наопако – било због недостатака у дизајну, безбедносних пропуста или добро испланираног напада – утицај може бити далеко већи него код традиционалног прегледача или једноставног четбота у облаку.
Претраживач покретан вештачком интелигенцијом је у суштини „нормалан“ претраживач са дубоко интегрисаним језичким моделом који види странице које посећујете, разуме њихов садржај и овлашћен је да обавља радње као да је корисник. Он не само да сумира веб локацију: може да кликће на дугмад, попуњава обрасце, преузима датотеке, управља картицама или комуницира са услугама где сте већ пријављени.
Ово прави значајну разлику у поређењу са коришћењем класичног четбота у другој картици, где копирате и лепите садржај: сада је агент „унутар“ прегледача , са директним приступом вашем контексту прегледања, вашим отвореним сесијама и потенцијално вашим локалним датотекама или другим системским ресурсима.
Ова архитектура је посебно атрактивна за велике технолошке компаније. Perplexity је лансирао свој Comet прегледач и чак је разматрао куповину Chrome-а , док Google и Microsoft убризгавају своје моделе Gemini и Copilot директно у Chrome и Edge. OpenAI је, са своје стране, представио ChatGPT Atlas као сопствени прегледач базиран на Chromium-у, са слојем вештачке интелигенције који ради у одвојеним процесима како би се смањили ризици.
Пословна мотивација је јасна: милиони корисника, стална употреба и тоне података . Прегледач попут овог генерише огромну лојалност корисника ( тешко је пребацивати се између прегледача, због чега је уобичајено користити више прегледача ) и, поред тога, нуди телеметрију о целокупном веб саобраћају и начину на који корисници интерагују са мрежом, што је изузетно вредно за моделе обуке, тестирање нових функција и смањење трошкова инфраструктуре премештањем дела посла на сопствене уређаје корисника.
OpenAI Atlas: Кључне карактеристике и почетне безбедносне границе
Дана 21. октобра 2025. године, OpenAI је објавио прву јавну верзију ChatGPT Atlas-а за macOS , свог прегледача покретаног вештачком интелигенцијом који ће се, према речима компаније, проширити на Windows, Android и iOS. Идеја је да навигација „буде“ ChatGPT: корисник више не мора да копира и лепи текст да би га модел обрадио, већ директно захтева задатке на страници коју прегледа.
Да би смањио ризике, OpenAI је имплементирао неколико техничких ограничења посебно дизајнираних за агента прегледача . Atlas је базиран на Chromium-у, али вештачка интелигенција ради у одвојеним процесима, капсулираним у оно што називају OpenAI веб слој (OWL). Према почетној документацији, агент:
- Не можете покренути код или инсталирати екстензије. сами
- Недостаје му капацитет да преузимајте датотеке самостално или приступајте другим локалним апликацијама.
- Он нити види нити користи сачуване лозинке нити аутоматско довршавање података прегледач.
- Не можете приступити Информације о уређају ван његовог домета навигација.
Што се тиче приватности, OpenAI обећава приступ „приватности по подразумеваним подешавањима“: интеракције са Atlas-ом се не користе за тренирање модела осим ако их корисник експлицитно не одобри. Штавише, меморија прегледача – способност памћења страница и контекста – је подразумевано онемогућена и мора се ручно омогућити.
Корисник такође може да обрише историју и сећања , дефинише са којим веб локацијама ChatGPT може да комуницира или чак потпуно блокира вештачку интелигенцију једним кликом. На критичним локацијама као што су банке или осетљиве услуге, Atlas захтева ручну потврду пре него што агент предузме акцију , како би се спречиле нежељене трансакције или аутоматизовани финансијски трансфери.
Ове мере заштите су корак у правом смеру, али не елиминишу основни проблем: прегледач заснован на вештачкој интелигенцији има много више снаге од класичног прегледача , а једна рањивост, погрешна конфигурација или дизајнерска одлука су довољни да га претворе у веома профитабилан вектор напада.
Интеграција вештачке интелигенције ствара потпуно нову површину за напад. Не говоримо само о класичним грешкама у прегледачу, већ и о недостацима у интеракцији између језичког модела, веб садржаја и аутоматизованих радњи . То су најзначајнији ризици који су до сада идентификовани.
Брза инјекција и скривена упутства
Такозвана „промптна инјекција“ састоји се од скривања злонамерних инструкција унутар саме веб странице, у наизглед безопасним фрагментима текста, у скривеном HTML-у, у коментарима на форумима, у ознакама за маркдаун, па чак и у сликама које се затим обрађују путем OCR-а.
Када корисник затражи од агента да сумира, анализира или интерагује са том страницом, модел може да интерпретира те инструкције као легитимне корисничке команде и да их изврши са свим привилегијама своје сесије: навигација до нових URL-ова, кликтање на дугмад, копирање приватних података, попуњавање образаца или објављивање осетљивих информација.
Практичан пример је документован од стране Brave with Perplexity Comet: корисник отвара Reddit нит која, унутар „спојлера“, крије скуп злонамерних команди . Када корисник кликне на дугме „настави страницу“ са омогућеним агентом, прегледач:
- Приступите подешавањима Perplexity налога и добијте имејл адресу корисника.
- Симулирајте пријаву за генеришите OTP код Верификација
- Отворите Gmail (ако сте већ пријављени), пронађите поруку са кодом и прочитајте је.
- Објавите у самој теми на Reddit-у имејл корисника и једнократна лозинка (OTP), остављајући га у видокругу нападача.
Све се ово дешава искључиво путем текста, без потребе за злонамерним скриптама или експлоатима ниског нивоа , и једним кликом корисника. Садржај странице је тај који „програмира“ агента да злоупотреби своје дозволе.
Убризгавање у међуспремник и оптичко препознавање знакова (OCR)
Још један вектор који добија на замаху је манипулација међуспремником . Традиционални злонамерни софтвер га већ користи за промену адреса криптовалута или пресретање акредитива; у контексту прегледача са вештачком интелигенцијом, агент би могао да прочита шта копирате и да реагује у складу са тим, или чак да залепи измењени садржај назад, а да ви то не приметите.
Још софистициранија је употреба скривених инструкција у сликама које обрађује OCR . Прегледач може да чита текст уграђен у графику или снимке екрана, а ако нападач сакрије команде у пикселима које људско око не примећује, али не и систем за препознавање, агент би их могао извршити као да су легитимни део странице.
У оба случаја, проблем је исти: модел не прави робусну разлику између „дескриптивног“ садржаја и „инструктивног“ садржаја и тежи да се повинује свему што звучи као наредба, посебно ако је форматирано убедљиво.
Изложеност и злоупотреба личних и осетљивих података
Претраживачи са вештачком интелигенцијом често укључују интелигентне функције аутоматског попуњавања или управљања формуларима које превазилазе традиционално аутоматско довршавање. Ако злонамерна страница имитира легитиман образац (на пример, из банке, друштвене мреже или SaaS провајдера) и агент сматра да би то требало да вам „уштеди време“, може да унесе податке као што су ваше пуно име, адреса, број телефона или чак интерни идентификатори компаније без експлицитног захтева за верификацију.
Ако, поред тога, прегледач има дозволу за преглед свих отворених или недавно коришћених картица , ризик се множи: нападач би могао истовремено да користи информације из ваше е-поште, календара, контаката, корпоративног CRM-а или система за управљање пројектима да би завршио задатак, чиме би проширио обим кршења података. Иако ово може бити корисно за легитимне сврхе, у рукама нападача постаје златни рудник осетљивих података.
У пословним окружењима, проблем је погоршан. Екстензије прегледача засноване на вештачкој интелигенцији, интегрисане у токове рада, често захтевају веома широке дозволе : читање и измену садржаја свих веб локација, приступ колачићима и сесијама, интеракцију са API-јима итд. Ова комбинација је савршена за крађу интелектуалне својине, финансијских извештаја, дизајна у току, изворног кода или поверљивих разговора.
Упорне сесије и отмица налога
Модерни прегледач одржава бројне аутентификоване сесије отвореним : е-пошта, складиште у облаку, друштвене мреже, онлајн банкарство, алати за рад, административни панели… Ако агент има могућност интеракције са свим овим сервисима и, поред тога, сесија не истиче или се поново користи неограничено, нападач може искористити сваку успешну ињекцију да би извршио ланчане акције без потребе за поновним компромитовањем корисника.
Ово отвара врата за отмицу сесије и нападе бочним кретањем : када је агент преварен, може да преузима или брише датотеке, мења подешавања, додаје SSH кључеве у спремишта, мења записе у CRM-у или одобрава поруџбине, све из контекста различитих сервиса где је корисник већ био пријављен.
Фишинг, дезинформације и недостатак транспарентности у деловању
Претраживачи са вештачком интелигенцијом су такође посебно рањиви на „невидљиве“ фишинг кампање . Сам агент вештачке интелигенције може се користити за посећивање лажних страница, попуњавање образаца за аутентификацију или потврђивање трансакција, а да корисник никада не види стварни интерфејс, већ само „пријатељски“ резиме који генерише модел.
Штавише, системи који трансформишу садржај пре него што га прикажу кориснику компликују откривање лажних сајтова: вештачка интелигенција може да ублажи сигнале упозорења, преуреди елементе, па чак и генерише веродостојна објашњења која отежавају разликовање легитимног веб-сајта од копије дизајниране за крађу акредитива.
Још један мање опипљив, али подједнако озбиљан ризик је подложност дезинформацијама и манипулисаном садржају . Лоше конфигурисан модел, или онај обучен са затрованим подацима, може дати приоритет пристрасним изворима, изоставити упозорења или генерисати одговоре који поткрепљују лажне наративе. Ако се прегледач интензивно користи за прикупљање вести, утицај на перцепцију стварности или на критичне одлуке (нпр. инвестиције, здравље, политика) може бити значајан.
У свим овим случајевима постоји заједнички проблем: непрозирност радњи агента . Многе интеракције се дешавају „испод хаубе“, без да корисник тачно види које су картице отворене, који подаци су копирани или која су дугмад притиснута. Због тога је тешко извршити ревизију, доделити правну одговорност (да ли је то био корисник или вештачка интелигенција?) и рано откривати аномалијско понашање.
Омнибокс, прикривене команде и експлоати без клика
Омнибокс, или јединствена адресна и претражна трака, карактеристика модерних прегледача, додаје свој слој опасности. У сценарију којим управља вештачка интелигенција, злонамерна команда може бити прикривена као невина URL адреса или упит за претрагу . Ако модел анализира оно што куцате и покуша да вам „помогне“ директним извршавањем радњи, може вас на крају одвести до сајтова које контролише нападач или покренути нежељене низове задатака.
У међувремену, експлозија рањивости са нултим кликом у екосистемима вештачке интелигенције показује да понекад директна интеракција није ни неопходна: само примање имејла, позивнице из календара или поруке на платформи интегрисаној са агентом је довољно да покрене злонамерну логику. Примери попут EchoLeak-а у Microsoft 365 Copilot-у показују како, искоришћавањем аутоматског отпремања слика, интерпретација Markdown-а и интерних проксија , нападач може ескалирати привилегије и украсти податке без икакве интервенције корисника.
Ова врста напада није ограничена само на велике канцеларијске пакете: било који прегледач са вештачком интелигенцијом који је изложен веб пошти, размени порука или административним панелима може постати жртва ако модел аутоматски интерагује са примљеним садржајем.
Екстензије засноване на вештачкој интелигенцији, ланац снабдевања и сенчена вештачка интелигенција
Поред „званичних“ прегледача са уграђеном вештачком интелигенцијом, постоји мноштво екстензија прегледача које покрећу језички модели који обећавају тренутну продуктивност: помоћници за писање, детектори расположења, напредно аутоматско довршавање, резимеи састанака итд. Ове екстензије често захтевају веома наметљиве дозволе и, у многим случајевима, шаљу податке непрозирним спољним сервисима.
Ова ситуација ствара експлозиван коктел рањивости у ланцу снабдевања : библиотеке трећих страна, неревидиране API-је, сервере за закључивање који се налазе у другим земљама, неконтролисана аутоматска ажурирања… Првобитно легитимно проширење може купити злонамерни актер и тихо га ажурирати како би прикупљало осетљиве податке или инсталирало злонамерни софтвер у корпоративним окружењима.
Свему овоме доприноси Shadow AI , односно коришћење ових алата без одобрења или видљивости ИТ одељења. Запослени са добрим намерама који инсталирају AI екстензије да би брже радили могу несвесно извозити информације заштићене GDPR-ом, HIPAA-ом или PCI DSS-ом трећим странама које не испуњавају потребне законске или безбедносне стандарде.
Утицај на приватност, усклађеност са прописима и сајбер криминал
Директна последица овог новог сценарија је драматично повећање ризика по личну приватност и пословну поверљивост . Лоше управљани вештачком интелигенцијом прегледач или екстензија могу да сниме књиге, научне чланке засноване на претплати, нацрте финансијских извештаја, стратешке планове, власнички код или податке о купцима, а да то нико не примети.
У кућном окружењу већ смо видели специфичне проблеме: ChatGPT је чак приказивао исечке ћаскања других корисника због техничке грешке, а функција дељења разговора генерисала је URL-ове које претраживачи могу индексирати, остављајући хиљаде приватних разговора видљивим свима. Лако је замислити шта би се могло десити када асистент има потпун приступ веб саобраћају и локалним датотекама.
У корпоративном свету, откривање интелектуалне својине или регулаторних података може довести до вишемилионских казни, губитка конкурентске предности и штете по репутацију . Ако екстензија за транскрипцију састанака чува разговоре са осетљивим клијентима на серверима трећих страна или ако прегледач са вештачком интелигенцијом користи поверљиве финансијске информације за обучавање модела, организација би могла да крши GDPR, CCPA, HIPAA или друге индустријске прописе.
Истовремено, сајбер криминалци користе управо оне могућности које предузећа траже. Рансомвер уз помоћ вештачке интелигенције и полиморфни малвер су већ примећени у јавности: породице попут PromptLock-а генеришу скрипте у ходу како би се кретале кроз Windows, macOS или Linux системе, избегавале откривање и шифровале податке. Такозвани „тамни LLM-ови“ – отворени модели модификовани за криминалне сврхе – омогућавају аутоматизацију извиђања, крађе акредитива и читавих кампања упада.
Недавна истраживања су показала да се LLM-ови уграђени у корпоративне токове рада могу приморати да инсталирају злонамерни софтвер, издвајају податке или манипулишу резултатима једноставно путем добро дизајнираних упита или затрованих података за обуку. Како прегледачи засновани на вештачкој интелигенцији постају примарни интерфејс за веб, ова претња ће се проширити на готово сваку онлајн активност.
Спроведене мере ублажавања и препоруке за смањење ризика
Произвођачи прегледача са вештачком интелигенцијом почињу да реагују. Поред ограничења која су већ била поменута у Атласу, Брејв је предложио конкретне најбоље праксе за ублажавање напада брзог убризгавања и злоупотребе агената:
- Јасно разликујте корисничке команде од веб текстаизбегавајући мешање оба у истом каналу инструкција за модел.
- Да захтевају Експлицитна потврда за било коју осетљиву радњу (куповине, промене конфигурације, трансфери новца, приступ имејловима).
- Изолујте напредне функције основног навигационог агентатако да сама посета страници не подразумева могућност аутоматског деловања.
- Покушај сав веб садржај као подразумевано непоуздан, што захтева јасне сигнале о намери корисника пре предузимања акције.
У међувремену, неке компаније, попут OpenAI-а, нуде детаљну видљивост и контролу меморије : блокирање вештачке интелигенције у одређеним доменима, онемогућавање коришћења података за обуку по подразумеваним подешавањима, омогућавање кориснику да брише разговоре и сећања кад год жели или захтевање ручних одобрења на сајтовима који се сматрају критичним.
Из перспективе компаније корисника, постоји низ основних хигијенских мера које треба спровести што је пре могуће:
- Јасна политика о коришћењу вештачке интелигенцијекоји прегледачи и екстензије су дозвољени, које податке могу обрађивати и под којим условима.
- Континуирана обука за запослене, објашњавање Ризици брзог убризгавања, фишинга усмереног на вештачку интелигенцију и кршења података.
- Употреба виртуелизована или изолована окружења (VDI, sandbox-ови) за задатке високог ризика, тако да је инцидент лакше обуздати.
- Имплементација безбедносна решења усмерена на прегледач који прате екстензије, аномално понашање и крађу података.
„Идеалан вештачки интелигентни прегледач“, према речима стручњака, требало би да омогући корисницима да омогуће или онемогуће интелигентну обраду на нивоу појединачних локација једним кликом, да изолује контекст модела између домена, увек потврди унос осетљивих података, ограничи приступ датотекама према оперативном систему, па чак и да омогући корисницима да изаберу локалне моделе без слања података у облак. Ниједан од тренутних производа још увек не испуњава све ове захтеве, што чини неопходним допунити их спољним безбедносним слојевима.
Пејзаж који пружају прегледачи са вештачком интелигенцијом агенти је подједнако моћан колико и деликатан: ако се добро управљају, могу демократизовати напредну аутоматизацију у свакодневном животу; ако се занемаре, могу постати омиљени алат нападача . Кључно ће бити како ће се техничке мере развијати (изолација, корисничке контроле, детекција убризгавања) и колико организације и појединци улажу у разумевање шта тачно ради овај „асистент“ који сада живи у њиховом прегледачу.
