Investigadores de LayerX descubrieron "BioShocking", un ataque de inyección de prompts que engaña a navegadores con IA para que ignoren sus medidas de seguridad al confundir acciones riesgosas con un escenario ficticio. El ataque fue probado con éxito en seis productos populares, logrando que los agentes AI comprometieran datos sensibles como contraseñas. Hasta el momento, solo OpenAI ha implementado una solución efectiva, mientras que otros proveedores han ignorado el reporte o fallaron en el parche.

Un nuevo ataque de inyección de prompts denominado “BioShocking” podría engañar a los navegadores impulsados por IA para que traten acciones riesgosas del mundo real como parte de un escenario ficticio, provocando que ignoren cualquier barrera de seguridad.

Una prueba de concepto (PoC) para el ataque, ideada por investigadores de LayerX, fue probada con éxito contra seis productos de navegadores agenticos populares (ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser y el plugin de Claude para Chrome), y solo uno lo solucionó tras recibir el informe.

Cómo funciona bioshocking

LayerX creó una prueba de concepto en la que una página web maliciosa presentaba un juego de acertijos temático de BioShock que recompensa las respuestas incorrectas. Esto enseña al agente de control del navegador que las reglas normales no se aplican.


En el paso final para ganar el juego, se instruye al agente a visitar un repositorio de GitHub y copiar y compartir datos presentes en el código, incluyendo información sensible como contraseñas.

El problema principal que LayerX descubrió en este ejercicio es que los agentes de IA no logran distinguir entre operaciones sensibles del mundo real y un escenario dado.

Resumen del razonamiento del agente de IA
Fuente: LayerX

“Una vez que los agentes comprendieron las reglas y aprendieron que las acciones 'incorrectas' son aceptables, dejaron de estar ligados a la realidad”, explica LayerX [enlace].

“Cuando se les asignó el paso final del acertijo —comprometer las credenciales del usuario— los 6 agentes no lograron identificar que esto iba en contra de sus barreras de seguridad”.

La PoC de LayerX no realizó ninguna acción maliciosa real, pero los investigadores subrayan que podría haberlo hecho sin cambiar el resultado del ejercicio.

Respuesta de los proveedores de ia

LayerX informó a los proveedores de sus hallazgos en octubre del año pasado y no recibió respuesta de tres de ellos.

Los investigadores afirman que OpenAI fue el único proveedor que ha implementado una solución efectiva para BioShocking en su navegador ChatGPT Atlas.

Anthropic intentó solucionar el problema en su plugin de Chrome, pero el parche es ineficaz contra la PoC, según LayerX.

Perplexity AI cerró el informe sin solucionar el problema, señalan los investigadores en el reporte.

LayerX recomienda que los proveedores añadan confirmación explícita del usuario para acciones sensibles, comprobaciones de contexto más fuertes y límites de alcance para las sesiones agenticas.

Por su parte, los usuarios deben utilizar las opciones disponibles en su plataforma de elección para restringir el acceso del navegador de IA a servicios sensibles.

Fuente:
BleepingComputer