AI-webbläsare kom med löftet om att förändra allt. Inte nog med att de inte har gjort det: de är en fara

Webbläsare med artificiell intelligens kom inte och lovade en smartare flik eller en sökmotor med bättre svar. De anlände med en mycket större ambition: OpenAI talar om att komma närmare en "äkta superassistent", Perplexity sammanfattar Comet som "webbläsaren som fungerar för dig" och Google presenterar Gemini i Chrome under idén om en ny era av surfning. Löftet är tydligt: ​​att vi slutar röra oss ensamma på webben och börjar delegera en del av vägen.

Problemet är att samma löfte börjar visa en mer känslig sida.

Varningen. University of Washington har nu fokuserat på denna framväxande risk. I forskning som presenterades på Agents in the Wild-workshopen, och släpptes av universitetet självt den 30 juni, analyserade ett team sju populära agentwebbläsare för att se hur de förhåller sig till ett grundläggande skydd av den moderna webben: samma ursprungspolicy.

Deras slutsats var tydlig: fyra av dem öppnade relevanta riskvägar och forskarna gick så långt att de körde ett fullständigt proof of concept i ChatGPT Atlas i agentläge.

Bottenhoppet. En traditionell webbläsare visar oss sidor och väntar på våra beslut. Vi kan öppna en tjänst, kopiera data, klistra in den någon annanstans, jämföra alternativ eller fylla i ett formulär, men varje steg beror på oss.

Agentiska webbläsare ändrar denna logik eftersom de innehåller system som kan tolka vad som visas på skärmen och gå framåt i webbläsaren själv. Vi pratar inte längre bara om att sammanfatta en sida, utan snarare att koordinera uppgifter mellan flikar, arbeta på öppna sidor och slutföra åtgärder som tidigare lämnats i användarens händer.

En ny front. Risken uppstår inte bara för att en sida är skadlig, utan för att agenten kan tolka den sidan som en del av dess instruktioner. Det är här snabb injektion kommer in, en teknik där externt innehåll försöker ändra modellens beteende med dolda, kamouflerade eller helt enkelt infogade order där användaren inte förväntar sig att hitta dem.

I en chatbot är det redan ett problem. I en agent webbläsare ändras omfattningen, eftersom systemet kan bearbeta information från en sida och konvertera den till åtgärder i webbläsaren.

Barriären som fanns där. Samma ursprungspolicy är ett av de skydd som vi sällan ser, men som underbygger mycket av den moderna webben. Dess funktion, enkelt uttryckt, är att förhindra en sida från att fritt läsa eller manipulera information från en annan bara för att båda är öppna i webbläsaren.

Tack vare denna separation ska vilken webbplats som helst inte bara kunna komma åt det vi har i en bank, ett mejl eller en privat tjänst. Problemet uppstår när en agent grupperar information som tidigare var mycket mer separerad. I Xataka verkade WhatsApp användarnamn som en bra idé.

Sedan dök skuggan av nätfiske upp. Föreställ dig att vi besöker en till synes normal sida och ber agenten att sammanfatta den eller hjälpa oss att slutföra en uppgift på den. Under vissa förhållanden kan den sidan innehålla innehåll från en annan källa, till exempel en iframe, tillsammans med en skadlig instruktion som är avsedd för modellen och inte för oss.

Om agenten har tillräckliga behörigheter kan den komma åt innehåll som den attackerande webbplatsen inte ska kunna läsa direkt och flytta en del av den informationen till ett formulär som kontrolleras av angriparen. Banan skulle inte direkt ha brutit barriären; han skulle ha använt agenten som en bro.

Den viktiga nyansen. Det bör noteras att studien inte säger att alla användare kommer att drabbas av en attack eller att någon webbläsare med AI är osäker per definition. Forskarna analyserade specifika versioner, vid en viss tidpunkt, och arbetade med proof of concept, inte med attacker mot riktiga tjänster eller med känslig användardata.

De observerade också relevanta skillnader mellan produkter: webbläsare som gav färre behörigheter till agenten tenderade att minska risken.

Paradoxen. Dessa webbläsare är attraktiva eftersom de lovar att spara steg, förstå sidor, relatera information och utföra uppgifter med mindre ingripande från oss. Men det är samma kapacitet som gör att felet väger mer: det inträffar inte bara i en isolerad flik, utan i en miljö där det kan finnas öppna sessioner, personuppgifter och väntande åtgärder.

De kanske ännu inte är en massiv vana, men säkerhetsdebatten är redan här, just för att deras förslag går ut på att ge dem mer marginal. Bilder | Xataka med nanobanan i Xataka | Att välja alla trafikljus är inte längre tillräckligt för att bevisa att du inte är en robot. Nu måste du skanna QR-koder