Los navegadores de IA son el próximo gran objetivo para los hackers

Los navegadores de IA como Atlas de OpenAI y Comet de Perplexity prometen conveniencia. Pero vienen con importantes riesgos de ciberseguridad, formando un nuevo campo de juego para los hackers.

Los navegadores web impulsados por IA compiten con los navegadores tradicionales como Google Chrome y Brave, con el objetivo de atraer a miles de millones de usuarios de internet diarios.

Hace unos días, OpenAI lanzó Atlas, mientras que Comet de Perplexity lleva meses en el mercado. Los navegadores web impulsados por IA pueden escribir y hacer clic a través de las páginas. Los usuarios pueden pedirle que reserve un vuelo, resuma correos electrónicos o incluso complete un formulario.

Básicamente, los navegadores web impulsados por IA están diseñados para actuar como asistentes digitales y navegar por la web de forma autónoma. Se les saluda como el próximo gran avance en la productividad en línea.

Los investigadores de seguridad señalan defectos en los navegadores de IA

Pero la mayoría de los consumidores son desconocedores de los riesgos de seguridad que conlleva el uso de navegadores de IA. Estos navegadores son vulnerables a hackeos sofisticados a través de un nuevo fenómeno llamado inyección de instrucciones.

Los hackers pueden explotar los navegadores web de IA, acceder a las sesiones iniciadas de los usuarios y realizar acciones no autorizadas. Por ejemplo, los hackers pueden acceder a correos electrónicos, cuentas de redes sociales o incluso ver detalles bancarios y mover fondos.

Según la reciente investigación de Brave, los hackers pueden incrustar instrucciones ocultas dentro de páginas web o incluso imágenes. Cuando un agente de IA analiza este contenido y ve las instrucciones ocultas, puede ser engañado para ejecutarlas como si fueran comandos legítimos del usuario. Los navegadores web de IA no pueden distinguir entre instrucciones genuinas y falsas del usuario.

Los ingenieros de Brave experimentaron con Comet de Perplexity y probaron su reacción ante la inyección de instrucciones. Se descubrió que Comet procesaba texto invisible oculto dentro de capturas de pantalla. Este enfoque permite a los atacantes controlar las herramientas de navegación y extraer datos del usuario con facilidad.

Los ingenieros de Brave calificaron estas vulnerabilidades como un "desafío sistémico que enfrenta a toda la categoría de navegadores impulsados por IA".

La inyección de instrucciones es difícil de corregir

Los investigadores de seguridad y los ingenieros afirman que la inyección de instrucciones es difícil de solucionar. Esto se debe a que los modelos de inteligencia artificial no comprenden el origen de las instrucciones. No pueden diferenciar entre instrucciones genuinas y falsas.

El software tradicional puede distinguir entre entrada segura y código malicioso, pero los modelos de lenguaje grandes (LLM) tienen dificultades con eso. Los LLM procesan todo, incluidas las solicitudes del usuario, el texto de los sitios web e incluso los datos ocultos, y lo tratan como una gran conversación.

Por eso la inyección de instrucciones es peligrosa. Los hackers pueden ocultar fácilmente instrucciones falsas dentro de contenido que parece seguro y robar información confidencial.

Las empresas de IA admiten que la inyección de instrucciones es una amenaza grave

Perplexity declaró que estos ataques no dependen de código o contraseñas robadas, sino que manipulan el «proceso de pensamiento» de la IA. La empresa construyó múltiples capas de defensa alrededor de Comet para detener los ataques de inyección de instrucciones. Utiliza modelos de aprendizaje automático que detectan amenazas en tiempo real e ha integrado instrucciones de control que mantienen a la IA enfocada en la intención del usuario. Además, el navegador requiere confirmación obligatoria del usuario para acciones sensibles como enviar un correo electrónico o comprar un artículo.

Los investigadores de seguridad creen que los navegadores web impulsados por IA no deben ser de confianza con cuentas sensibles o datos personales hasta que se implementen mejoras importantes. Los usuarios aún pueden utilizar navegadores web de IA, pero sin acceso a herramientas, con acciones automatizadas deshabilitadas, y deben evitar usarlos cuando hayan iniciado sesión en cuentas bancarias, correos electrónicos o aplicaciones de salud.

El Director de Seguridad de la Información (CISO) de OpenAI, Dane Stuckey, reconoció los peligros de la inyección de instrucciones y escribió en X: «Un riesgo emergente que estamos investigando y mitigando con mucho cuidado son las inyecciones de instrucciones, donde los atacantes ocultan instrucciones maliciosas en sitios web, correos electrónicos u otras fuentes para intentar engañar al agente y hacer que se comporte de maneras no previstas».

Explicó que el objetivo de OpenAI es hacer que las personas "confíen en los agentes de ChatGPT para que usen tu navegador, de la misma manera en que confiarías en tu colega o amigo más competente, confiable y consciente de la seguridad". Stuckey dijo que el equipo de OpenAI está "trabajando arduamente para lograrlo".