Navegadores com IA são o próximo grande alvo para hackers

Navegadores web de IA, como o Atlas da OpenAI e o Comet da Perplexity, prometem conveniência. Mas eles vêm com grandes riscos de cibersegurança, formando um novo playground para hackers.

Navegadores web alimentados por IA competem com navegadores tradicionais como o Google Chrome e o Brave, visando atrair bilhões de usuários diários de internet.

Há alguns dias, a OpenAI lançou o Atlas, enquanto o Comet da Perplexity está no mercado há meses. Navegadores web alimentados por IA podem digitar e clicar através das páginas. Os usuários podem pedir a ele que reserve um voo, resuma e-mails ou até preencha um formulário.

Basicamente, os navegadores web alimentados por IA são projetados para atuar como assistentes digitais e navegar na web de forma autônoma. Eles são aclamados como o próximo grande salto na produtividade online.

Pesquisadores de segurança sinalizam falhas em navegadores de IA

Mas a maioria dos consumidores não está ciente dos riscos de segurança que vêm com o uso de navegadores de IA. Esses navegadores são vulneráveis a hacks sofisticados por meio de um novo fenômeno chamado injeção de prompt.

Hackers podem explorar navegadores web de IA, obter acesso às sessões logadas dos usuários e realizar ações não autorizadas. Por exemplo, hackers podem acessar e-mails, contas de redes sociais ou até visualizar detalhes bancários e mover fundos.

De acordo com pesquisa recente da Brave, hackers podem incorporar instruções ocultas dentro de páginas da web ou até mesmo em imagens. Quando um agente de IA analisa esse conteúdo e vê as instruções ocultas, ele pode ser enganado para executá-las como se fossem comandos legítimos do usuário. Navegadores web de IA não conseguem distinguir entre instruções genuínas e falsas.

Engenheiros da Brave experimentaram com o Comet da Perplexity e testaram sua reação à injeção de prompt. O Comet foi encontrado processando texto invisível oculto dentro de capturas de tela. Essa abordagem permite que os atacantes controlem ferramentas de navegação e extraiam dados do usuário com facilidade.

Os engenheiros da Brave chamaram essas vulnerabilidades de “um desafio sistêmico que enfrenta toda a categoria de navegadores alimentados por IA.”

A injeção de prompt é difícil de corrigir

Pesquisadores de segurança e engenheiros dizem que a injeção de prompt é difícil de corrigir. Isso ocorre porque os modelos de inteligência artificial não entendem de onde vêm as instruções. Eles não conseguem diferenciar entre prompts genuínos e falsos.

O software tradicional pode distinguir entre entrada segura e código malicioso, mas os grandes modelos de linguagem (LLMs) têm dificuldade com isso. Os LLMs processam tudo, incluindo solicitações do usuário, texto do site e até dados ocultos, tratando-os como uma grande conversa.

É por isso que a injeção de prompt é perigosa. Hackers podem facilmente esconder instruções falsas dentro de conteúdo que parece seguro e roubar informações sensíveis.

Empresas de IA admitem que a injeção de prompt é uma ameaça séria

A Perplexity declarou que tais ataques não dependem de código ou senhas roubadas, mas manipulam o “processo de pensamento” da IA. A empresa construiu várias camadas de defesa ao redor do Comet para impedir ataques de injeção de prompt. Ela usa modelos de aprendizado de máquina que detectam ameaças em tempo real e integrou prompts de proteção que mantêm a IA focada na intenção do usuário. Além disso, o navegador requer confirmação obrigatória do usuário para ações sensíveis, como enviar um e-mail ou comprar um item.

Pesquisadores de segurança acreditam que os navegadores web alimentados por IA não devem ser confiáveis com contas sensíveis ou dados pessoais até que melhorias significativas sejam implementadas. Os usuários ainda podem utilizar navegadores web de IA, mas sem acesso a ferramentas, com ações automatizadas desativadas e devem evitar usá-los quando estiverem logados em contas bancárias, e-mails ou aplicativos de saúde.

O Diretor de Segurança da Informação (CISO) da OpenAI, Dane Stuckey, reconheceu os perigos da injeção de prompt e escreveu no X: “Um risco emergente que estamos pesquisando e mitigando com muita atenção são as injeções de prompt, onde os atacantes escondem instruções maliciosas em sites, e-mails ou outras fontes para tentar enganar o agente e fazê-lo se comportar de maneiras não intencionais.”

Ele explicou que o objetivo da OpenAI é fazer com que as pessoas “confiem nos agentes do ChatGPT para usar seu navegador, da mesma forma que confiariam em seu colega ou amigo mais competente, confiável e consciente da segurança”. Stuckey disse que a equipe da OpenAI está “trabalhando duro para alcançar isso.”