Kết quả nghiên cứu được trình bày tại Hội nghị an ninh mạng Black Hat USA, trong đó Zenity gọi nhóm lỗ hổng này là "PleaseFix". Các nền tảng bị ảnh hưởng gồm Claude trên Chrome, Gemini trên Chrome, Perplexity Comet, ChatGPT Atlas và Copilot Edge của Microsoft.

Theo Zenity, khác với trình duyệt truyền thống, các trình duyệt AI có khả năng tự động truy cập và xử lý dữ liệu từ nhiều nguồn như thư điện tử, lịch làm việc, tệp tin và các trang web để thực hiện tác vụ thay cho người dùng. Chính khả năng này cũng mở ra một bề mặt tấn công mới khi các tác nhân AI có thể bị cài cắm những chỉ dẫn độc hại.

Nhóm nghiên cứu cho biết kẻ tấn công có thể giấu các lệnh độc hại trong email, lời mời lịch họp, đường dẫn trên mạng xã hội hoặc nội dung trang web. Khi đọc các nội dung này, trình duyệt AI có thể vô tình thực hiện các chỉ dẫn bằng chính quyền truy cập và danh tính của người dùng, từ đó làm lộ dữ liệu hoặc thực hiện các hành động ngoài ý muốn.

Trong một thử nghiệm với Claude trên Chrome, nhóm nghiên cứu cho thấy chỉ một email chứa mã độc có thể khiến AI tự động trích xuất dữ liệu Gmail, chia sẻ Google Drive cho tin tặc và làm lộ quyền truy cập vào các tài khoản như Slack và Claude.

Ở một kịch bản khác với Perplexity Comet, một lời mời họp trên lịch đã được cài cắm mã độc giúp nhóm nghiên cứu truy cập các tệp tin cục bộ, đánh cắp thông tin xác thực và xâm nhập tài khoản của trình quản lý mật khẩu.

Đối với ChatGPT Atlas, Zenity chứng minh rằng một liên kết độc hại trên mạng xã hội có thể khiến AI gửi tin nhắn lừa đảo thông qua tài khoản WhatsApp của nạn nhân hoặc chuẩn bị một đơn hàng trên Amazon với địa chỉ giao hàng do kẻ tấn công kiểm soát.

Đáng chú ý, các chuyên gia cảnh báo một số lỗ hổng còn có thể vượt ra ngoài phạm vi trình duyệt. Trên Comet, Gemini và Copilot Edge, tin tặc có khả năng tiếp cận các công cụ dành cho lập trình viên và các dịch vụ nội bộ trên máy tính, từ đó tiến tới chiếm quyền điều khiển thiết bị.

Đồng sáng lập kiêm Giám đốc Công nghệ (CTO) của Zenity Michael Bargury nhận định đây không phải là một lỗi phần mềm đơn lẻ có thể khắc phục bằng một bản vá đơn giản mà là hệ quả của cách các trình duyệt AI được thiết kế. Theo ông, các trình duyệt AI đã phá vỡ ranh giới bảo mật vốn được các trình duyệt truyền thống duy trì trong nhiều thập kỷ.

Zenity cho biết, đã thông báo phát hiện này cho Anthropic, Google, Microsoft, OpenAI và Perplexity trước khi công bố nghiên cứu. Phản ứng của các doanh nghiệp không giống nhau, khi một số đã phát hành bản vá, trong khi số khác cho rằng các hành vi trên nằm trong cơ chế hoạt động dự kiến của sản phẩm.

Các chuyên gia nhận định phát hiện mới cho thấy, cùng với sự phát triển nhanh của các tác nhân AI (AI agents), vấn đề bảo đảm an toàn và kiểm soát quyền truy cập sẽ trở thành một trong những thách thức lớn nhất đối với ngành công nghệ trong thời gian tới.