AI 瀏覽器俾假遊戲帶路，密碼同 GitHub 憑證都可能出事

一個假遊戲，就試到 agent mode 有幾大洞

LayerX 新研究講嘅 BioShocking，玩法其實好低科技：研究員整咗一個 BioShock 風格 puzzle page，叫 AI 瀏覽器幫手贏遊戲。遊戲規則先令 agent 接受「2 + 2 = 5」呢種錯答案，跟住再叫佢去 /code 搵「隱藏 code」。喺 LayerX 個 controlled test 入面，嗰條路最後去咗一個測試用嘅公司 GitHub repo，agent 讀咗純文字 SSH 登入憑證，再貼返俾攻擊者當完成任務。

圖片：LayerX

六款工具全中，但要當 PoC 睇

LayerX 話佢哋試咗 5 款 agentic browser 同 1 個瀏覽器 plugin：OpenAI ChatGPT Atlas、Perplexity Comet、Fellou、Genspark Browser、Sigma Browser，同 Anthropic Claude Chrome plugin，六款都冇喺最後一步擋住憑證外洩。呢度要講清楚，呢個係安全廠商做嘅 proof of concept，唔係講緊已有大規模野外攻擊；LayerX 本身亦有 browser security 產品，所以風險演繹同 vendor 狀態要保守讀。

圖片：LayerX

麻煩位喺同一個 context 太闊

AI 瀏覽器賣點就係幫你喺唔同分頁、唔同網站之間做嘢：查 email、睇文件、開 repo、填表，全部都可以叫佢跟。問題係 agent 讀網頁內容、你打畀佢嘅指令、已登入帳戶入面可見嘅資料，好多時會混埋喺同一個 context。傳統網頁想攞走你 GitHub 憑證，通常要撞漏洞、偷 cookie 或呃你登入；但 agent mode 多咗另一條路：惡意頁面只要令 agent 誤會「呢啲係任務規則」，就可能借你已登入身份去碰你本來唔想交出去嘅資料。

各廠商狀態要寫得保守

LayerX 截稿時個 disclosure table 寫，OpenAI ChatGPT Atlas 已修；Anthropic Claude Chrome plugin 試過修，但 LayerX 話補丁失效；Perplexity Comet 關咗 report；Fellou、Genspark 同 Sigma 就未回應。公開資料入面，OpenAI 同 Anthropic 嘅官方安全文件都有提到 browser agent 面對 prompt injection 係長期安全難題；Perplexity 亦有 BrowseSafe 研究講 Comet 要分層防守。不過針對 BioShocking 呢個 PoC，幾間公司未必都有逐條公開回應，所以唔好寫到似六間都確認咗 LayerX 結論。

開住公司帳戶用 AI browser，要先收權限

實用做法好簡單：agent mode 唔好用你平時嗰個全登入 profile。要佢查資料，就開分開 browser profile、只登入任務用到嘅帳戶，最好用 read-only 或 sandbox repo。GitHub、Google Workspace、Notion、Slack、Jira 呢類工具，如果入面有客戶資料、API key、部署權限，就唔好畀 AI 瀏覽器喺同一個 session 入去亂行。公司 IT 至少要有 domain allowlist、操作確認、audit log，同埋停用未批核 AI browser 嘅 policy。

開發者仲要留意 coding agent 連帶風險

呢類攻擊對 developer 特別麻煩，因為大家成日一邊睇 docs，一邊開 GitHub、CI、issue tracker、雲端 console。AI 幫你讀 repo 或改 PR 時，如果同時可以睇到內部工具，就等於一個未受訓嘅新人坐喺你登入好晒嘅電腦前面。最少要做到：repo 入面唔放 secrets、token 用最窄 scope、agent 用完即 revoke session，敏感操作一定要人手確認。揀 AI browser 時，要睇清楚佢有冇權限分隔、操作確認同可審計記錄；淨係答得快，已經唔足以證明安全。

參考來源

• Android Authority — AI browsers were tricked into revealing passwords with a shockingly simple approach — original report
• BioShocking AI: “Gaming” the AI Browser and Escaping its Guardrails — primary source，提供 BioShocking PoC 細節、試咗邊幾款工具，同披露狀態。
• Continuously hardening ChatGPT Atlas against prompt injection attacks — OpenAI 官方背景，講 Atlas agent mode 點擴大攻擊面同用家安全建議。
• Using Claude in Chrome safely — Anthropic 官方安全頁，講 Claude in Chrome 面對 prompt injection 同 JavaScript 權限風險。
• Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet — Brave 對 Comet 做過 indirect prompt injection 研究，補返 agentic browser 風險背景。
• BrowseSafe: Understanding and Preventing Prompt Injection Within AI Browser Agents — Perplexity 官方研究，講 browser agents 嘅 prompt injection 防守同 benchmark。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。