เบราว์เซอร์ AI 5 ตัวถูกแฮ็กได้ แค่ส่งอีเมลก็ขโมยข้อมูลได้โดยไม่ต้องคลิก

Zenity Labs เปิดเผยในงาน Black Hat USA 2026 สามารถโจมตีเบราว์เซอร์ AI ชั้นนำได้ถึง 5 ตัว ได้แก่ Claude ใน Chrome, Gemini ใน Chrome, Perplexity Comet, ChatGPT Atlas และ Copilot Edge ด้วยการส่งอีเมลแค่ครั้งเดียว

Zenity เรียกการโจมตีรูปแบบนี้ว่า PleaseFix โดยอาศัยปัญหาที่เรียกว่า Intent Collision หลักการคือ AI Agent ไม่สามารถแยกแยะได้ว่าอะไรคือ คำสั่งจากผู้ใช้ และอะไรคือ คำสั่งที่อยู่ในเนื้อหาที่กำลังอ่าน เช่น ผู้ใช้อาจสั่งให้ AI ช่วยสรุปอีเมล แต่ภายในอีเมลนั้นกลับมีข้อความที่สั่งให้ AI เปิดไฟล์ ส่งข้อมูล หรือแชร์เอกสารให้กับบุคคลอื่น AI อาจตีความคำสั่งแฝงนั้นเป็นส่วนหนึ่งของงาน และลงมือทำโดยใช้ บัญชี สิทธิ์ และข้อมูลที่ผู้ใช้ล็อกอินเอาไว้

Claude ถูกหลอกให้ขโมยข้อมูล Gmail และ Google Drive

ในการสาธิตกับ Claude ใน Chrome นักวิจัยเพียงส่งอีเมลที่เตรียมไว้ แล้วให้ AI ทำงานทั่วไปอย่างการสรุปกล่องจดหมาย จากนั้น AI ถูกหลอกให้ดึงข้อมูลจาก Gmail รวมถึงแชร์ข้อมูลใน Google Drive ให้กับผู้โจมตี นอกจากนี้ยังสามารถนำไปสู่การเข้าควบคุมบัญชีอื่น ๆ เช่น Slack, X และ Claude ได้อีกด้วย ที่น่าสนใจคือการโจมตีดังกล่าวยังสามารถทำงานได้แม้เปิด โหมดความปลอดภัยที่ควรให้ AI ขออนุญาตก่อนดำเนินการ

Comet ไม่ต้องคลิกก็โดนขโมยข้อมูลได้

ส่วน Perplexity Comet นักวิจัยใช้เพียงคำเชิญประชุมในปฏิทินที่ถูกสร้างขึ้นให้ดูเหมือนคำขอประชุมปกติ เมื่อ AI อ่านข้อมูลดังกล่าว ก็สามารถเข้าถึงไฟล์ในเครื่องและใช้ประโยชน์จากส่วนขยาย 1Password ที่ไม่ได้ล็อกไว้ ทำให้ข้อมูลในคลังรหัสผ่านถูกขโมย และผู้ใช้ถูกล็อกออกจากบัญชี

ChatGPT Atlas ถึงขั้นสั่งซื้อของแทนผู้ใช้

ส่วน ChatGPT Atlas ก็ถูกสาธิตการโจมตีผ่าน ลิงก์ที่ซ่อนอยู่ใต้โพสต์บนโซเชียลมีเดีย เมื่อ Atlas เข้าไปตามลิงก์ หน้าเว็บสามารถเข้าควบคุม Workflow และสั่งให้ส่งข้อความฟิชชิงผ่านบัญชี WhatsApp ของเหยื่อได้

อีกการโจมตีหนึ่งสามารถเปลี่ยนที่อยู่จัดส่งสินค้าบน Amazon เป็นที่อยู่ของผู้โจมตี แม้ระบบของ OpenAI จะป้องกันไม่ให้ทำรายการชำระเงิน แต่ผู้โจมตีก็ใช้วิธีให้ AI Agent ตัวหนึ่งไปขอให้ AI อีกตัวอย่าง Rufus ของ Amazon ดำเนินการแทน เรียกได้ว่าเป็นการโจมตีแบบ “Agent หลอก Agent”

จากขโมยข้อมูล สู่ยึดคอมพิวเตอร์ทั้งเครื่อง

ปัญหายังไม่ได้หยุดอยู่แค่ข้อมูลบนเว็บไซต์ เพราะ Zenity พบว่า AI Agent บางตัวสามารถถูกหลอกให้เข้าไปจัดการกับ localhost ซึ่งเป็นพื้นที่ที่โปรแกรมทำงานอยู่บนเครื่องของผู้ใช้เอง

ในการทดสอบ Perplexity Comet สามารถถูกหลอกให้เปิด Reverse Shell ผ่านเครื่องมืออย่าง Ollama และ Open WebUI ซึ่งอาจเปิดทางให้ผู้โจมตีควบคุมคอมพิวเตอร์จากระยะไกล

ขณะที่ Gemini ใน Chrome และ Copilot Edge ก็ถูกทดสอบจนสามารถหลบระบบป้องกันและนำไปสู่การลบเซิร์ฟเวอร์ AWS รวมถึงทำลายฐานข้อมูล SQL ได้

อีกเทคนิคที่ Zenity เรียกว่า HistoryFixing ยังสามารถฝังข้อมูลปลอมลงในประวัติการท่องเว็บ เพื่อให้ AI อ่านข้อมูลดังกล่าวในภายหลังและเข้าใจว่าเป็นประวัติหรือข้อเท็จจริงเกี่ยวกับผู้ใช้

ปัญหาอาจแก้ไม่ได้ด้วยการออกแพตช์อย่างเดียว

Zenity ระบุว่าได้แจ้งผลการค้นพบให้ Anthropic, Perplexity, Google, Microsoft และ OpenAI ทราบล่วงหน้า โดยแต่ละบริษัทมีแนวทางแตกต่างกัน บางรายออกแพตช์แก้ไข ขณะที่บางรายมองว่าพฤติกรรมดังกล่าวเป็นการทำงานตามที่ออกแบบไว้

อย่างไรก็ตาม การแก้ไขบางส่วนก็ยังถูกหลบเลี่ยงได้ ทำให้ Zenity มองว่าปัญหานี้อาจไม่ใช่ช่องโหว่แบบทั่วไปที่สามารถแก้ด้วยแพตช์เพียงอย่างเดียว

เหตุผลสำคัญคือ เบราว์เซอร์แบบดั้งเดิมมีระบบ Same-Origin Policy ที่ช่วยแยกเว็บไซต์ออกจากกัน แต่เมื่อ AI Agent เข้ามาทำหน้าที่เป็นตัวกลาง มันสามารถอ่านข้อมูลจากหลายเว็บไซต์และนำสิทธิ์ของผู้ใช้ไปทำงานต่อในบริการอื่นได้ นี่จึงเป็นโจทย์ใหม่ของโลก Agentic AI ที่ระบบความปลอดภัยแบบเดิมอาจรับมือได้ไม่เพียงพอ

ผู้ใช้ควรทำอย่างไร?

Zenity แนะนำให้มอง AI Browser เหมือนกับการมี “พนักงานดิจิทัล” ที่สามารถเข้าถึงอีเมล ไฟล์ ปฏิทิน และบัญชีออนไลน์ของเราได้ ดังนั้นไม่ควรให้สิทธิ์เกินความจำเป็น สิ่งที่ผู้ใช้ทำได้ทันทีคือ

• ปิดฟีเจอร์หรือสิทธิ์ที่ไม่จำเป็นใน AI Browser
• หลีกเลี่ยงการล็อกอินบัญชีสำคัญ เช่น อีเมลหลัก, GitHub และ Cloud Services
• จำกัดสิทธิ์การเข้าถึงไฟล์และเว็บไซต์
• อย่าคิดว่าหน้าต่าง “ขออนุญาตก่อนทำงาน” จะปลอดภัย 100%
• ระวังส่วนขยายเบราว์เซอร์ที่ไม่รู้จัก เพราะอาจเข้าถึงข้อมูลการสนทนากับ AI ได้

สำหรับ ChatGPT Atlas นั้นทาง OpenAI ระบุว่าจะปิดการให้บริการเบราว์เซอร์ในวันที่ 9 สิงหาคม ดังนั้นผู้ที่ยังใช้งานอยู่ควรสำรองข้อมูลที่จำเป็นก่อนถึงกำหนดยุติให้บริการ

ที่มา notebookcheck