BioShocking mette in difficoltà i browser con intelligenza artificiale: un nuovo attacco sfrutta la prompt injection

Un gruppo di ricercatori di LayerX ha presentato BioShocking, una nuova tecnica di attacco basata sulla prompt injection che evidenzia alcune debolezze nei browser dotati di agenti di intelligenza artificiale. Secondo lo studio, questa metodologia può portare gli assistenti AI a interpretare operazioni potenzialmente pericolose come se facessero parte di un contesto immaginario, riducendo così l'efficacia dei meccanismi di protezione integrati. Per dimostrare il funzionamento dell'attacco, gli esperti hanno realizzato una prova di concetto ispirata all'universo del videogioco BioShock.

In questo scenario, una pagina web propone un rompicapo in cui vengono premiate le risposte errate, inducendo gradualmente l'agente AI a considerare accettabili comportamenti normalmente contrari alle regole. Nella fase conclusiva dell'esperimento, il browser riceve l'istruzione di visitare un archivio GitHub e copiare informazioni presenti nel codice, comprese credenziali e dati riservati.

Secondo LayerX, il problema principale risiede nell'incapacità degli agenti di distinguere con precisione tra un contesto simulato e operazioni reali che coinvolgono informazioni sensibili. I ricercatori precisano che la dimostrazione non ha realmente sottratto dati agli utenti, ma sottolineano che la stessa tecnica potrebbe essere adattata a uno scenario dannoso senza modificare la logica dell'attacco.

Ulteriori dettagli si BioShocking e sul test

Il test è stato eseguito su sei browser e strumenti AI dedicati alla navigazione: ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser e il plugin Chrome di Claude. Secondo quanto riportato, tutti hanno mostrato vulnerabilità durante la prova.

LayerX riferisce di aver comunicato il problema ai produttori già nell'ottobre dello scorso anno. Tre aziende non avrebbero fornito alcuna risposta. OpenAI sarebbe invece l'unica ad aver introdotto una correzione efficace per ChatGPT Atlas. Anthropic avrebbe distribuito un aggiornamento per il proprio plugin Chrome, giudicato però insufficiente contro la prova realizzata dai ricercatori. Anche Perplexity AI avrebbe chiuso la segnalazione senza implementare modifiche.

LayerX suggerisce ai produttori di introdurre conferme esplicite prima delle operazioni sensibili, controlli più rigorosi sul contesto e limiti operativi per le sessioni degli agenti AI. Agli utenti viene invece consigliato di limitare, quando possibile, l'accesso dei browser AI ai servizi contenenti dati riservati.