I browser AI sono il prossimo grande bersaglio per gli hacker

I browser AI come Atlas di OpenAI e Comet di Perplexity promettono convenienza. Ma comportano importanti rischi di cybersecurity, formando un nuovo terreno di gioco per gli hacker.

I browser web basati sull'AI competono con i browser tradizionali come Google Chrome e Brave, mirando ad attrarre miliardi di utenti internet quotidiani.

Alcuni giorni fa, OpenAI ha rilasciato Atlas, mentre Comet di Perplexity è in circolazione da mesi. I browser basati sull'AI possono digitare e cliccare attraverso le pagine. Gli utenti possono dirgli di prenotare un volo, riassumere le email o persino compilare un modulo.

In sostanza, i browser basati sull'AI sono progettati per agire come assistenti digitali e navigare autonomamente sul web. Sono acclamati come il prossimo grande salto nella produttività online.

I ricercatori di sicurezza segnalano difetti nei browser AI

Ma la maggior parte dei consumatori non è consapevole dei rischi per la sicurezza che accompagnano l'uso dei browser AI. Tali browser sono vulnerabili a hack sofisticati attraverso un nuovo fenomeno chiamato iniezione di prompt.

Gli hacker possono sfruttare i browser web AI, accedere alle sessioni degli utenti già effettuate e eseguire azioni non autorizzate. Ad esempio, gli hacker possono accedere alle email, ai social media o persino visualizzare i dettagli bancari e spostare i fondi.

Secondo recenti ricerche di Brave, gli hacker possono incorporare istruzioni nascoste all'interno di pagine web o persino di immagini. Quando un agente AI analizza questo contenuto e vede le istruzioni nascoste, può essere indotto a eseguirle come se fossero comandi utente legittimi. I browser web AI non possono distinguere tra istruzioni utente genuine e false.

Brave ingegneri hanno sperimentato con Comet di Perplexity e ne hanno testato la reazione all'iniezione di prompt. È stato riscontrato che Comet elabora testo invisibile nascosto all'interno di screenshot. Questo approccio consente agli attaccanti di controllare gli strumenti di navigazione ed estrarre i dati degli utenti con facilità.

Gli ingegneri di Brave hanno definito queste vulnerabilità una «sfida sistemica che affronta l'intera categoria dei browser basati sull'AI».

L'iniezione di prompt è difficile da risolvere

I ricercatori di sicurezza e gli ingegneri dicono che l'iniezione di prompt è difficile da risolvere. Questo perché i modelli di intelligenza artificiale non capiscono da dove provengono le istruzioni. Non possono differenziare tra prompt genuini e falsi.

Il software tradizionale può distinguere tra input sicuro e codice malevolo, ma i modelli linguistici di grandi dimensioni (LLM) faticano con questo. Gli LLM elaborano tutto, incluse le richieste degli utenti, il testo dei siti web e persino i dati nascosti, trattandoli come una grande conversazione.

È per questo che l'iniezione di prompt è pericolosa. Gli hacker possono nascondere facilmente istruzioni false all'interno di contenuti che sembrano sicuri e rubare informazioni sensibili.

Le aziende AI ammettono che l'iniezione di prompt è una seria minaccia

Perplexity ha dichiarato che tali attacchi non si basano su codice o password rubate, ma manipolano invece il «processo di pensiero» dell'AI. L'azienda ha costruito più livelli di difesa intorno a Comet per fermare gli attacchi di iniezione di prompt. Utilizza modelli di machine learning che rilevano le minacce in tempo reale e ha integrato prompt di guardrail che mantengono l'AI focalizzata sull'intento dell'utente. Inoltre, il browser richiede una conferma obbligatoria dell'utente per azioni sensibili come l'invio di un'email o l'acquisto di un articolo.

I ricercatori di sicurezza ritengono che i browser basati sull'AI non dovrebbero essere fidati con account sensibili o dati personali finché non verranno implementati miglioramenti significativi. Gli utenti possono ancora utilizzare i browser web AI, ma senza accesso agli strumenti, con azioni automatizzate disabilitate e dovrebbero evitare di utilizzarli quando sono collegati a conti bancari, email o app sanitarie.

Il Chief Information Security Officer (CISO) di OpenAI, Dane Stuckey, ha riconosciuto i pericoli dell'iniezione di prompt e ha scritto su X: «Un rischio emergente che stiamo studiando e mitigando con molta attenzione sono le iniezioni di prompt, in cui gli attaccanti nascondono istruzioni malevole nei siti web, nelle email o in altre fonti per cercare di ingannare l'agente facendolo comportare in modi non intenzionali».

Ha spiegato che l'obiettivo di OpenAI è far sì che le persone «si fidino degli agenti ChatGPT di usare il tuo browser, allo stesso modo in cui ti fideresti del tuo collega o amico più competente, affidabile e consapevole della sicurezza». Stuckey ha detto che il team di OpenAI sta «lavorando sodo per raggiungere questo obiettivo».