Az MI-asszisztensek lassan kinövik a kérdezz–felelek szerepet: a böngészőben futó megoldások már nem csupán összefoglalják az oldal tartalmát, hanem képesek tranzakciókat is végrehajtani a felhasználó nevében. A Brave fejlesztés alatt álló Leo asszisztense például képes lesz repülőjegyet foglalni, banki műveletet indítani vagy online szolgáltatásokat kezelni – mindezt a böngészőn belül, teljesen autonóm módon. A lehetőség óriási, de vele együtt megérkezett az egyik legnagyobb fenyegetés is: az úgynevezett indirekt prompt injection.
Ez a támadási forma nem közvetlenül a felhasználót célozza, hanem a böngésző MI-jét. A módszer egyszerű, de pusztító: a támadó rejtett utasításokat helyez el weboldalakon vagy akár közösségi média kommentekben, amelyeket a felhasználó MI-asszisztense – például a Perplexity Comet – tévesen saját parancsként értelmez. A böngésző így a felhasználó nevében hajt végre érzékeny műveleteket, például e-mail fiókhoz fér hozzá, banki adatokat olvas ki, vagy egyszerűen kiszolgáltatja a belépési azonosítókat.
A Brave kutatói élesben is tesztelték a problémát: a Reddit-kommentben elrejtett utasításokat „összefoglalás” közben a Comet feldolgozta, majd a felhasználó tudta nélkül meglátogatta a Perplexity fiókoldalát, kinyerte az e-mail címet, az egyszer használatos jelszavát kiolvasta a Gmailből, és mindezt visszaküldte a támadónak. A felhasználó egyetlen hibája az volt, hogy megbízott a böngésző MI-jében.
A helyzet súlyosságát mutatja, hogy a klasszikus webes biztonsági védvonalak – SOP, CORS – itt teljesen hatástalanok. Az MI ugyanis nem weboldalak közötti határokat lát, hanem nyers szöveget, amelyet kontextusként kezel. Így bármely, ártalmatlannak tűnő komment vagy HTML-elem átcsúszhat a szűrőkön. A támadások ráadásul kereszt-domaineken átívelhetnek, hiszen a böngésző az MI kérésére a felhasználó teljes jogosultságával működik.
A Brave szerint a megoldás több rétegű:
- a böngészőnek egyértelműen el kell különítenie a felhasználói parancsokat a weboldal tartalmától,
- minden érzékeny művelet előtt szükséges a felhasználó jóváhagyása,
- az „ügynöki böngészést” pedig izolálni kell a hétköznapi böngészéstől, hogy véletlenül se lehessen átcsúszni egy veszélyes üzemmódba.
A kutatók hangsúlyozzák: az MI-böngészők új korszakot nyitnak, de biztonsági szempontból minden korábbinál törékenyebbek. A prompt injection olyan, mintha a böngészőbe épített hacker ülne mellettünk, aki bármikor félreértelmezhet egy mondatot. A Brave ezért a közösség bevonásával szeretne iparági szabványokat kialakítani, mielőtt az „ügynöki böngészés” széles körben elterjed.
Az üzenet világos: a jövő böngészői nem csak erősebbek lesznek, hanem veszélyesebbek is – és a biztonságot most kell megteremteni, nem utólag.
