Исследователи из LayerX нашли новый способ взламывать AI-браузеры — атаку назвали BioShocking. Всё начинается с игры, размещённой прямо на сайте. Она просит пользователя скопировать код из текстового поля с определённого URL, а в конце выдаёт фразу «победа — это поражение». Это прямая отсылка к BioShock (фраза «Would you kindly?» гипнотизирует персонажа) и к роману Оруэлла «1984» (там «2 + 2 = 5» и парадоксы психологической манипуляции).
Создатель атаки Паз объясняет: как только AI-агент понимает правила игры и видит, что «неправильные» действия допустимы, он перестаёт быть привязан к реальности. Когда на последнем шаге агенту предлагается скомпрометировать учётные данные пользователя — все 6 протестированных AI-браузеров не распознают нарушение своих защитных ограничений. Под удар попали ChatGPT Atlas, Comet, Fellou, Genspark, Sigma и плагин Claude для Chrome.
Джелбрейки — не новость для чат-ботов, но с AI-браузерами всё серьёзнее. Они работают локально на машине пользователя и смешивают две когда-то раздельные функции: показ веб-контента и выполнение действий от имени пользователя. Последствия могут быть куда тяжелее. Адам Конвей, главный технический редактор XDA, ещё в прошлом году предупреждал: обычный браузер изолирует сайты друг от друга (same-origin policy), а AI-агент с широким доступом может обходить эти屏障ы. Если злоумышленник контролирует AI через инъекцию промптов, он может попросить ассистента передать данные, к которым у него есть доступ. Это фактически ломает привычную изоляцию информации, потому что в AI-браузерах плоскости управления и данных больше не разделены.
LayerX признают: их proof-of-concept — это скорее демонстрация, нежели готовая атака. Игра видна пользователю, поэтому скрытности нет, и непонятно, смогли ли они отправить украденные данные на сторонний сервер. Тем не менее BioShocking показывает очередной способ обойти защитные барьеры, не дающие LLM слететь с катушек.