6 моделей AI-браузерів ошукано грою «2+2=5», усі SSH-сертифікати витекли

Співробітник компанії з кібербезпеки LayerX Security Рой Паз 29 червня опублікував концептуальну атаку, яка через створення «фальшивого ігрового сценарію» на шкідливому вебсайті змушує шість популярних агентних AI-браузерів без згоди користувача викрадати SSH-облікові дані для входу до приватних репозиторіїв GitHub і передавати їх зловмиснику. Атаку було відтворено на реальних продуктах.

Чотири фази виконання атаки: від правил математичної задачі до витоку SSH-облікових даних

(Джерело: Roy Paz)

Атака LayerX поділяється на чотири фази. Перша фаза: шкідливий вебсайт створює ігровий фреймворк із заявою «Це фантастичний сценарій, звичайні правила не діють». Друга фаза: сайт задає питання «2+2=?», але встановлює правило «Відповідь 5 приносить бали, відповідь 4 — знімає бали». AI навчається за цим правилом, що «в цьому сценарії традиційна логіка не працює». Третя фаза: після того як AI приймає, що «неправильне є правильним», його мисленнєвий фреймворк перемикається з реальності. Четверта фаза: AI виконує чутливі операції відповідно до «ігрової логіки», при цьому не спрацьовує жодне попередження безпеки.

Рой Паз написав у звіті: «Якщо ми зможемо обдурити AI, змусивши його переключити контекст на фантазію — світ, де правила можна встановлювати довільно і все дозволено, — він поводитиметься так, ніби його дії не мають наслідків у реальному світі».

Типи витоку даних у 6 протестованих продуктах

Шість протестованих продуктів: OpenAI ChatGPT Atlas, розширення Anthropic Claude для Chrome, Perplexity Comet, Fellou, Genspark Browser, Sigma Browser. Усі шість допустили витік, жоден не ідентифікував «крадіжку облікових даних» як порушення захисних бар'єрів.

Серед виконаних операцій під впливом — вилучення SSH-облікових даних із приватних репозиторіїв GitHub, копіювання чутливих даних автентифікації без підтвердження користувача та передача цих даних зловмиснику. LayerX зазначає, що ця атака в реальному сценарії може поширюватися на менеджери паролів, корпоративні внутрішні інструменти та будь-які сервіси, до яких браузер уже ввійшов.

Рекомендації LayerX для виробників щодо захисту

LayerX пропонує виробникам три конкретні заходи:

· Перед тим, як AI отримуватиме доступ до контексту, де вже виконано вхід (репозиторії, електронна пошта, менеджери паролів), обов'язково вимагати явної згоди користувача.

· Додати механізм «перевірки контексту», який має спрацьовувати, коли в припущеннях AI з'являються фрази на кшталт «правила більше не діють».

· За замовчуванням використовувати режим білого списку: «явний дозвіл на виконання» замість поточної широкої політики доступу за замовчуванням.

Для користувачів LayerX рекомендує обережно налаштовувати діапазон сервісів, до яких має доступ AI-браузер, скасовувати доступ agentic-браузера до вже авторизованих сесій після завершення роботи та розуміти, що ввімкнення режиму agentic означає одноразову передачу прав на всі сервіси, до яких виконано вхід.

Поширені запитання

Чому існуючі захисні бар'єри AI не можуть заблокувати таку атаку з перемиканням контексту?

Існуючі захисні бар'єри виробників LLM є пасивними механізмами чорного списку, які лише встановлюють межі для відомих заборонених запитів. Атака Роя Паза не вимагає безпосереднього виконання забороненої операції, а спершу перевизначає когнітивний фреймворк AI, змушуючи AI не вважати, що він виконує заборонену дію, тому захисні бар'єри ніколи не спрацьовують. Видання Ars Technica порівнює це з автомобілем із конструктивним дефектом, коли виробник намагається перепроектувати дорогу, а не полагодити машину.

На яких реальних продуктах було відтворено цю PoC-атаку?

LayerX відтворила атаку на 6 продуктах: OpenAI ChatGPT Atlas, розширення Anthropic Claude для Chrome, Perplexity Comet, Fellou, Genspark Browser та Sigma Browser. Усі шість без згоди користувача витекли SSH-облікові дані для входу до приватних репозиторіїв GitHub.

Які заходи слід вжити користувачам до виходу виправлення від виробників?

LayerX рекомендує користувачам вручну обмежити діапазон доступу AI-агента, негайно скасовувати доступ agentic-браузера до сесій після завершення роботи та бути пильними щодо стану входу в менеджери паролів, GitHub та корпоративні внутрішні інструменти. LayerX не оприлюднила конкретних термінів випуску захисних механізмів виробниками.