新型 BioShocking 攻击操纵 AI 浏览器窃取数据

一种名为 "BioShocking" 的新型提示注入攻击，可以诱骗 AI 驱动的浏览器将现实世界中的危险行为视为虚构场景的一部分，从而导致它们忽略所有安全护栏。
由 LayerX 研究人员设计的概念验证攻击已成功针对六款主流智能体浏览器产品（ChatGPT Atlas、Comet、Fellou、Genspark Browser、Sigma Browser 和 Claude Chrome 插件）进行了测试，其中只有一款在收到报告后解决了该问题。
BioShocking 的工作原理
LayerX 创建了一个概念验证，其中恶意网页呈现了一个以 BioShock 为主题的解谜游戏，该游戏会对错误答案进行奖励。这教会了浏览器的控制代理，正常规则在此并不适用。
在赢得游戏的最后一步，代理被指示访问一个 GitHub 仓库，并复制和共享代码中的现有数据，包括密码等敏感信息。
LayerX 在此次实验中发现的主要问题是，AI 代理无法区分现实世界中的敏感操作与给定的场景。
"一旦代理弄清楚了规则，并了解到'不正确'的操作是可以接受的，它们就不再受现实的约束了，"LayerX 解释道。
"当被要求执行拼图的最后一步——泄露用户凭据时，所有 6 个代理都未能识别出这违反了它们的安全护栏。"
LayerX 的概念验证实际上并未执行任何恶意操作，但研究人员强调，即使执行了恶意操作，也不会改变此次实验的结果。
AI 厂商的回应
LayerX 于去年 10 月将其发现通知了厂商，其中三家未予回复。
研究人员表示，OpenAI 是唯一一家在其 ChatGPT Atlas 浏览器中为 BioShocking 实施了有效修复的厂商。
LayerX 称，Anthropic 试图在其 Chrome 插件上修复该问题，但该补丁对概念验证无效。
研究人员在报告中指出，Perplexity AI 关闭了该报告，但并未修复该问题。
LayerX 建议厂商为敏感操作添加明确的用户确认、更强的上下文检查以及代理会话的范围限制。
对于用户而言，应使用所选平台上的可用选项来限制 AI 浏览器对敏感服务的访问。