Od podsumowania wiadomości w skrzynce pocztowej do kradzieży konta. Ciemna strona asystentów AI jako wtyczek do przeglądarki

Czy jedno polecenie „podsumuj moje maile” może wystarczyć do przejęcia konta? Badacze z firmy Zenity Labs pokazali, że tak. Wystarczy odpowiednio spreparowana wiadomość e-mail, aby asystent AI działający jako wtyczka do przeglądarki wykonał ukryte instrukcje, uzyskał dostęp do danych użytkownika, a nawet pomógł przejąć jego konto. Zobacz, jak działa ten nowy typ ataku i dlaczego celem cyberprzestępców może stać się nie sam użytkownik, lecz asystent AI posiadający dostęp do jego danych i usług.

Nowe zagrożenie: ataki na agentów AI w przeglądarkach

W erze AI dążymy do automatyzacji coraz większej ilość zadań. Tutaj z pomocą przychodzą nam wtyczki do przeglądarek pozwalające na komunikację z modelem AI. Dzięki nim możemy delegować zadania oraz korzystać z pomocy w codziennej pracy. Problem pojawia się wtedy, gdy wtyczka posiadająca uprawnienia do czytania stron, potrafi również wykonywać działania w kontekście użytkownika. Badacze z firmy Zenity Labs pokazali, że wystarczy odpowiednio spreparowana wiadomość e-mail, aby przejąć kontrolę nad agentem AI wtyczki oraz uzyskać dostęp do danych użytkownika, a nawet doprowadzić do przejęcia jego konta na platformie X (dawniej Twitter)

Gdy pozorne „podsumuj moje maile” oznacza kłopoty

W opisywanym scenariuszu celem nie była ani przeglądarka Chrome ani usługa pocztowa Gmail. Atakujący zaatakował samą logikę działania asystenta AI działającego jako rozszerzenie przeglądarki. Wtyczka Claude do przeglądarki Chrome potrafiła czytać zawartość stron, nawigować pomiędzy nimi oraz wykonywać kod JavaScript w kontekście odwiedzanych witryn. Badacze przygotowali specjalnie spreparowaną wiadomość e-mail, która na pierwszy rzut oka wyglądała jak zwykła korespondencja. W jej treści ukryto jednak złośliwe instrukcje przeznaczone dla asystenta AI, które dla człowieka były po prostu zwykłym tekstem. Kiedy użytkownik poprosił Claude o podsumowanie ostatnich wiadomości, agent przeczytał taką wiadomość e-mail i potraktował ukryte polecenia jako prawidłowe instrukcje, które miał wykonać.Ten atak nazywany jest Indirect Prompt Injection (IPI) i polega na pośrednim wstrzyknięciu poleceń. Zamiast rozmawiać bezpośrednio z AI, atakujący umieszcza złośliwe polecenia w treści dokumentu, e-maila lub strony internetowej i liczy, że model je odczyta i wykona.

Czy klasyczny phishing to już przeżytek?

Klasyczne kampanie phishingowe próbują przekonać użytkownika do wykonania określonej akcji. Tutaj sytuacja wyglądała inaczej. Użytkownik nie musiał klikać w podejrzany link, pobierać pliku ani wpisywać hasła. Wystarczyło skorzystać z funkcji wtyczki zgodnie z jej przeznaczeniem, prosząc sztuczną inteligencję o podsumowanie wiadomości e-mail. Następnie, asystent AI wykonywał kolejne kroki za użytkownika. W praktyce oznacza to, że granica pomiędzy zwykłą treścią do odczytania, a wykonywanym poleceniem zaczyna się zacierać. Jeżeli agent AI ma możliwość podejmowania działań w przeglądarce, każdy odczytywany przez niego dokument staje się potencjalnym źródłem wykonania złośliwych instrukcji.

Od wyskakującego komunikatu, po pełną kontrolę

Badacze rozpoczęli demonstrację od bardzo prostego przykładu. Udało im się sprawić, aby Claude uruchomił w przeglądarce kod JavaScript „alert(1)” wyświetlający klasyczne okno z komunikatem „1”. W świecie bezpieczeństwa taki test jest często odpowiednikiem sprawdzenia, czy możliwe jest wykonanie dowolnego kodu JS z poziomu przeglądarki użytkownika. Sam komunikat nie jest groźny, ale pokazał, że agent może wykonywać polecenia pochodzące z treści e-maila. Kolejnym krokiem było załadowanie bardziej rozbudowanego kodu JavaScript zaimplementowanego w zewnętrznym zasobie, który miał zostać załadowany przez asystenta AI. Zasób był możliwy do pobrania z domeny łudząco przypominającej znaną domenę wykorzystywaną do dostarczania treści do strony internetowej, czyli Content Delivery Network (CDN). Taka technika nazywa się typosquattingiem. Atakujący rejestruje domenę bardzo podobną do oryginalnej, zwykle z celową literówką. Dzięki wykorzystaniu adresu wyglądającego na zaufany atakującemu udało się obejść mechanizmy bezpieczeństwa odpowiedzialne za kontrolę zewnętrznych źródeł danych wykorzystywanych przez model AI. Jeżeli rozszerzenie potrafi wykonywać działania w przeglądarce, to skutki takich działań mogą być dla użytkownika znacznie większe niż samo wykonanie „alert(1)”.

Klucz dający dostęp do wielu danych

Po potwierdzeniu możliwości wykonywania własnego kodu JavaScript badacze sprawdzili, jak daleko może sięgnąć atak przeprowadzany przy użyciu asystenta AI działającego w przeglądarce. Okazało się, że agent może wykorzystywać uprawnienia zalogowanego użytkownika, a tym samym uzyskać dostęp do jego danych oraz wykonywać działania w kontekście jego sesji.
Pierwszym celem była skrzynka pocztowa Gmail, gdzie badacze pokazali, że uruchomiony przez agenta kod może odczytywać wiadomości znajdujące się na koncie użytkownika, pobierać ich treść, a następnie przesyłać ją na serwer kontrolowany przez atakującego. Co istotne, nie wymagało to znajomości hasła ani omijania mechanizmów uwierzytelniania. Agent AI korzystał z aktywnej sesji użytkownika, która była już zapisana w przeglądarce.
Na tym jednak nie koniec. Badacze przedstawili również scenariusz obejmujący Google Drive, w którym asystent AI automatycznie udostępniał atakującemu pliki znajdujące się na dysku ofiary. Z perspektywy użytkownika nie było widocznych oznak naruszenia danych. Asystent wykonywał działania przy użyciu tych samych uprawnień, które zostały mu wcześniej przyznane w celu realizacji zadań zleconych przez użytkownika wtyczki. Warto zaznaczyć, że taki dostęp może przetrwać dłużej niż sama sesja użytkownika. Nawet po zmianie hasła czy wylogowaniu ze wszystkich urządzeń, wcześniej udostępnione dokumenty mogą nadal pozostawać dostępne dla nieuprawnionej osoby.

„Creme de la crème” całego ataku

Podsumowaniem działań badaczy było przejęcie kont zewnętrznych usług poprzez wykorzystanie funkcjonalności resetowania hasła. Skoro atakujący mógł odczytywać treść wiadomości mailowych użytkownika, mógł również przechwytywać wiadomości związane z resetem poświadczeń do innych serwisów. Badacze zaprezentowali takie scenariusze między innymi w procesie resetu hasła dla Slacka, platformy X oraz samego Claude.ai.

Można by rzec, że pokazane przykłady były pełnym łańcuchem ataku rozpoczynającym się od odczytania złośliwej wiadomości e-mail z wyskakującym oknem i komunikatem „1”, aż po pełne przejęcie konta użytkownika.

Jak się chronić? Praktyczne zalecenia dla użytkowników

Używanie wtyczek do przeglądarki zawsze niesie ze sobą pewne ryzyko. W czasach, w których sztuczna inteligencja używana jest na każdym kroku, jej bezpieczeństwo jest jeszcze bardziej istotne. W kontekście wtyczek AI należy pamiętać, że ze względu na swoją funkcjonalność często wymagają one szerokich uprawnień (np. odczyt zawartości strony czy dostęp do aktywnej karty w przeglądarce), co przekłada się na większą powierzchnię potencjalnego ataku.
Poniżej znajdziesz listę rekomendacji, na które warto zwrócić szczególną uwagę w kontekście wtyczek AI:

• Instaluj tylko rozszerzenia pochodzące z zaufanych źródeł, którym ufasz i których faktycznie potrzebujesz.
• Nie zakładaj, że e-mail lub dokument jest bezpieczny tylko dlatego, że nie zawiera podejrzanych linków lub załączników. Instrukcje przeznaczone dla asystenta AI mogą zostać ukryte np. przy użyciu białego tekstu na białym tle, pozostając niewidoczne dla użytkownika.
• Traktuj asystentów AI jak uprzywilejowanych użytkowników, którzy mogą wykonywać działania w Twoim imieniu i uzyskiwać dostęp do danych, do których mają nadane uprawnienia.
• Ograniczaj dostęp agentom AI do poczty, dysków i innych systemów zawierających wrażliwe dane, jeśli nie jest on niezbędny do realizacji ich zadań.
• Regularnie sprawdzaj uprawnienia wtyczek wykorzystujących asystentów AI i w przypadku jakichkolwiek wątpliwości wyłącz lub usuń dane rozszerzenie.

Przedstawiona historia wtyczki Claude do przeglądarki Chrome pokazuje, że przyszłe zagrożenia nie będą już musiały polegać na próbie nakłonienia użytkownika do wykonania akcji. Celem ataków może stać się sam asystent sztucznej inteligencji, z którego dany użytkownik będzie korzystał. W rezultacie użytkownik może nieświadomie wykonać działania, które w skutkach mogą być równie niebezpieczne co pobranie i zainstalowanie złośliwego oprogramowania na komputerze.

Materiał pochodzi z zasobów systemu LEX Cyberbezpieczeństwo. W systemie znajduje się szeroki zakres informacji, komentarzy, wzorów oraz praktycznych poradników, które mogą stanowić uzupełnienie do przekazywanych treści. Więcej o systemie →

Partner technologiczny: