Investigadores de la empresa de seguridad Zenity presentaron en la conferencia Black Hat de Las Vegas hallazgos que demuestran que los navegadores web con IA pueden ser secuestrados mediante ataques de inyección de prompts. El equipo, que incluye al cofundador y CTO Michael Bargury y a la investigadora Stav Cohen, encontró unas 20 vulnerabilidades en navegadores con IA y extensiones de OpenAI, Google, Anthropic, Microsoft y Perplexity. Estos fallos les permitieron acceder a máquinas locales, extraer archivos, tomar el control de un gestor de contraseñas y filtrar el historial de navegación completo. Según Bargury, los fabricantes han debilitado los controles de seguridad de los navegadores hasta el punto de que vuelven a ser posibles ataques propios de hace 20 años, y defensas clásicas como la same-origin policy resultan prácticamente inútiles.

El navegador Atlas de OpenAI era el que contaba con las protecciones más sólidas de todos los productos analizados, pero aun así los investigadores lograron eludirlas. En una primera prueba de concepto, se pidió a Atlas que se suscribiera a un boletín mediante un enlace publicado en X. La página de suscripción maliciosa contenía instrucciones ocultas escritas en hebreo — elegidas para esquivar los filtros de seguridad en inglés — que ordenaban a la IA abrir la cuenta de WhatsApp Web del usuario ya iniciada y enviar el mismo mensaje a cada contacto, creando un gusano autopropagable que los investigadores comparan con una campaña de phishing masivo. Además, la página tenía un aspecto legítimo y afirmaba falsamente operar en un entorno aislado de WhatsApp. Zenity denomina a este patrón «colisión de intenciones»: la IA fusiona una instrucción legítima del usuario con instrucciones maliciosas procedentes de la web.

En un segundo ataque, el equipo utilizó una página de boletín falsa similar para que Atlas añadiera una dirección de envío a una cuenta de Amazon con sesión iniciada y colocara una tableta en el carrito. Cuando las medidas de seguridad de OpenAI bloquearon la compra, los investigadores simplemente hicieron que Atlas pidiera a Rufus, el asistente de compras con IA de Amazon, que completara el pedido, y este lo hizo al interpretar que la solicitud procedía del cliente. Rufus no fue manipulado ni inyectado: solo se le preguntó y obedeció.

Zenity informó de los hallazgos a OpenAI en enero. OpenAI declaró haber desplegado una actualización que corrige el problema y refuerza las protecciones de Atlas, protecciones que también se extienden a las funciones de navegación de la nueva aplicación ChatGPT; Atlas será retirado el 9 de agosto. Los investigadores reconocen que los ataques son complejos y que los delincuentes disponen de vías más sencillas, pero defienden el uso de barreras de seguridad deterministas en lugar de juicios basados en IA, que casi siempre pueden ser engañados. También instan a sopesar con cuidado qué nivel de acceso y autonomía se concede a los agentes de navegación, ya que un navegador secuestrado puede comprometer cuentas y filtrar datos.