Vulnerabilità in Perplexity Comet e altri browser AI (update)

ChatGPT Atlas è l’ultimo arrivato tra i browser agentici. I ricercatori di Brave hanno individuato gravi vulnerabilità in Perplexity Comet (gratis per tutti da inizio mese) e Fellou che possono essere sfruttate per rubare dati sensibili o altre attività illecite. L’esperto Simon Willison ha sottolineato che questi browser AI non potranno mai garantire la sicurezza.

Prompt injection indiretto

Per quanto riguarda Comet è la seconda vulnerabilità scoperta da Brave, dopo quella di fine agosto. La caratteristica comune è rappresentata dal tipo di attacco, noto come prompt injection indiretto. Invece di colpire direttamente il browser AI (e il modello sottostante) viene “infettata” la fonte usata dal software (sito web, post, email o altre).

Nel caso descritto dai ricercatori di Brave è stata sfruttata la funzionalità di Comet che permette di analizzare il contenuto di uno screenshot. Un cybercriminale potrebbe nascondere pericolose istruzioni in un’immagine, usando combinazioni di colori che rendono il testo invisibile all’occhio umano.

L’utente cattura uno screenshot della pagina e chiede a Comet di analizzare il contenuto. Il browser legge il testo nascosto nell’immagine tramite OCR ed esegue le istruzioni all’insaputa dell’utente. Nel video seguente si può vedere l’attacco di prompt injection indiretto:

In maniera simile, i ricercatori di Brave hanno “ingannato” Fellou, un altro browser AI meno noto di Comet. In questo caso è stata nascosta un’istruzione nel codice della pagina di un sito web. Le vulnerabilità sono state segnalate ai rispettivi sviluppatori, ma non è noto se sono state risolte.

Come sottolinea Brendan Eich, CEO di Brave Software e creatore del linguaggio JavaScript, i browser agentici non rispettano la “same-origin policy”, in quanto eseguono le azioni con gli stessi privilegi dell’utente.

Questo tipo di attacchi rappresentata un problema al momento irrisolvibile per tutti i browser AI. L’unica soluzione attuale è chiedere l’autorizzazione all’utente per ogni azione (apertura sito web, lettura email e altre), ma ciò rallenta notevolmente l’interazione con il browser.

Aggiornamento: Perplexity ha descritto le misure implementate in Comet per mitigare gli attacchi di prompt injection.