Исследование: браузеры с ИИ‑агентами помогают обходить политику same‑origin

Учёные из Вашингтонского университета заявили, что браузеры с ИИ‑агентами пока «не готовы к использованию» из‑за проблем с безопасностью. В первую очередь сообщается о возможности обхода политики same‑origin.

Same‑оrigin в обычных браузерах ограничивает доступ скриптов к данным на других страницах, если они не принадлежат одному и тому же источнику. Однако в браузерах с ИИ‑агентами, как показало исследование, это ограничение может обходиться, если злоумышленник сумеет провести успешную атаку prompt injection.

Исследователи описывают скрипт атаки так: потребитель открывает страницу злоумышленника, она загружает iframe с другим источником, после чего человек просит ИИ‑агента кратко описать страницу. Агент считывает вредоносную инструкцию, формирует ответ с данными из других источников и вводит его в форму на странице, а та автоматически отправляет информацию злоумышленнику. В таком случае агент становится инструментом для обхода базовой защиты браузера.

Разработчики отмечают, что в современных браузерах атака может опираться и на другие слабые места, например на нестрогую политику сторонних cookie. Ещё одна проблема — хранение данных в памяти ИИ‑агентов. Проверка показала, что некоторые браузеры объединяют информацию из разных источников и сохраняют её для дальнейшей обработки. Это повышает риск утечек, если память системы будет скомпрометирована.

Исследователи проанализировали Atlas, Claude for Chrome, Brave Leo AI, Google Chrome с Gemini, Microsoft Edge с Copilot, Firefox AI Mode и Perplexity Comet. Самыми безопасными признали Brave, а также агентные версии Microsoft Edge и Firefox, где функции ИИ ограничены сильнее.

«Браузеры с ИИ‑агентами пока не готовы к полноценному использованию. Не верьте тому, что эти системы защитят вашу информацию. Возможно, со временем они к этому придут, но пока ещё нет», — заключил соавтор исследования Дэвид Кольбреннер.