O navegador web Atlas, da OpenAI, poderia ter suas proteções de segurança contornadas e ser induzido a enviar mensagens em massa para dezenas de contatos no WhatsApp ou até realizar compras não autorizadas na Amazon, segundo uma nova pesquisa apresentada nesta quinta-feira na conferência de cibersegurança Black Hat, em Las Vegas.
Os resultados sobre o Atlas, assinados por pesquisadores da empresa de segurança Zenity, fazem parte de uma ampla série de falhas encontradas pela companhia em navegadores web com IA e extensões de navegador de grandes nomes do setor, incluindo produtos do Google, Anthropic, Microsoft e Perplexity. Ao todo, os pesquisadores identificaram cerca de 20 falhas que permitiam acessar máquinas locais, extrair arquivos, assumir um gerenciador de senhas e vazar todo o histórico de navegação de uma pessoa.
“Eles enfraqueceram o controle de segurança dos navegadores. Agora estamos voltando a ver os tipos de ataque que víamos em navegadores há 20 anos”, afirma Michael Bargury, cofundador e CTO da Zenity, que apresentou os achados no evento ao lado de Stav Cohen e outros colegas.
Até agora, as integrações de navegador web com IA têm seguido, em geral, dois modelos: navegadores dedicados já com assistentes de IA incluídos e extensões que incorporam produtos de IA em navegadores existentes. Esses bots conseguem navegar por sites em nome do usuário, resumindo páginas inteiras em segundos, por exemplo, e também podem envolver agentes capazes de executar ações em nome da pessoa, muitas vezes operando em várias abas ao mesmo tempo.
Os alertas de segurança começaram assim que as empresas de tecnologia entraram em uma corrida para inserir agentes na navegação web. Como a web é composta por todo tipo de dado não confiável, expô-la a um sistema de IA pode levá-lo a processar instruções maliciosas e ataques de prompt injection. Esses ataques são, como o responsável por segurança da OpenAI disse no ano passado, um “problema de segurança sem solução”. E, como pesquisadores de segurança vêm alertando repetidamente ao explorar as falhas dessas ferramentas, práticas históricas de segurança da web, como a same-origin policy, que impede a interação entre sites diferentes, podem se tornar “praticamente inúteis”.
Entre todas as ferramentas de navegador com IA analisadas, Bargury afirma que o Atlas, da OpenAI, que será desativado na próxima semana, era o que tinha mais proteções e barreiras de segurança em vigor. Ainda assim, os pesquisadores conseguiram contorná-las para manipular o sistema. Segundo eles, outras ferramentas de navegação eram ainda mais fáceis de explorar.
No primeiro ataque de prova de conceito, os pesquisadores da Zenity pediram ao Atlas que se cadastrasse em um link de newsletter publicado por eles no X. A página maliciosa, que continha o processo de cadastro, incluía instruções escritas em hebraico para mandar a IA acessar a conta do WhatsApp Web da vítima, já autenticada, e enviar a mesma mensagem para todos os contatos. Os pesquisadores descrevem isso como uma “campanha de phishing em massa”.
O ataque, que não explora uma vulnerabilidade no WhatsApp, funciona ao contornar vários mecanismos de segurança implementados pela OpenAI, diz Bargury. Em uma publicação no blog, a empresa detalha como os pesquisadores afirmam ter passado por proteções, como a criação de uma página de cadastro de newsletter que parecia legítima e não uma tentativa de invadir pessoas, o uso do hebraico para escapar de ferramentas de segurança voltadas ao inglês e a alegação falsa de que o sistema estava usando uma versão em sandbox do WhatsApp Web com pessoas fictícias, e não o serviço real.
“O que ele vai fazer é passar por cada contato e enviar as instruções para entrar nessa newsletter também. Então isso é um worm”, afirma Bargury. “Ou seja, você está infectando o restante dos seus amigos e familiares.” Segundo a Zenity, o WhatsApp não comentou os achados.
Os pesquisadores dizem que o ataque é um exemplo do que chamam de “colisão de intenções”, quando a IA combina instruções legítimas do usuário com instruções maliciosas vindas da web para cumprir o objetivo de hackers.
Em seguida, os pesquisadores voltaram sua atenção para a Amazon. Usando uma abordagem semelhante, fazendo o Atlas se cadastrar em uma página falsa de newsletter com instruções maliciosas, eles conseguiram fazer o navegador adicionar um endereço de entrega a uma conta da Amazon já autenticada e incluir um tablet no carrinho de compras.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...