Claude, Gemini, Comet: cinque browser basati sull’intelligenza artificiale compromessi da una singola e-mail

Un browser basato sull’intelligenza artificiale è un browser dotato di un assistente integrato che svolge il lavoro al posto vostro. Legge le pagine, apre schede, compila moduli e clicca per vostro conto. Ed è proprio questo il problema. In occasione del Black Hat USA 2026 a Las Vegas, Zenity Labs ha dimostrato che cinque dei più noti possono essere compromessi utilizzando nient’altro che contenuti ordinari: Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas e Copilot Edge.

La vulnerabilità in sé non è nuova. Zenity l’aveva dimostrata per la prima volta su Comet nel marzo 2026. La novità sta nella sua portata. Il fatto che gli assistenti basati sull’intelligenza artificiale vadano oltre quanto previsto è ormai diventato un fenomeno ricorrente, come ha dimostrato il recente test di sicurezza condotto da Anthropic.

La classe di attacchi è denominata PleaseFix. Il meccanismo alla base è semplice: l’assistente non è in grado di distinguere tra ciò che gli è stato chiesto di fare e ciò che è scritto nel contenuto che legge mentre esegue l’operazione. Pertanto, un malintenzionato nasconde delle istruzioni in un’e-mail, in un invito del calendario o in una pagina web. Zenity definisce questo fenomeno «Intent Collision». L’assistente considera le istruzioni estranee come parte della vostra richiesta e le esegue, utilizzando le vostre credenziali di accesso, le vostre autorizzazioni e i vostri account.

Cosa hanno effettivamente dimostrato le dimostrazioni

Con Claude su Chrome, sono bastati una singola e-mail preparata in anticipo e la consueta richiesta di riepilogo della posta in arrivo. Successivamente, i contenuti di Gmail sono stati sottratti, l’intero Google Drive della vittima è stato silenziosamente condiviso con l’autore dell’attacco e gli account Slack, X e Claude sono stati compromessi. Ha funzionato persino nella modalità sicura di Claude, in cui l’assistente chiede conferma prima di agire.

Con Perplexity Comet, è bastato un invito al calendario compromesso che sembrava una vera richiesta di riunione. Non è stato necessario nemmeno un clic. L’assistente ha avuto accesso al file system locale e ha sfruttato l’estensione 1Password sbloccata. L’autore dell’attacco si è appropriato dell’intero archivio e l’utente è rimasto escluso dall’accesso. Abbiamo trattato separatamente il tema della protezione dei vostri account al di là della password.

Con ChatGPT Atlas è bastato un link apparentemente innocuo sotto un post popolare sui social. Atlas lo ha seguito, la pagina ha assunto il controllo del flusso di lavoro e ha inviato messaggi di phishing tramite l’account WhatsApp della vittima stessa. In un secondo attacco, Atlas ha riempito il carrello Amazon della vittima e ha sostituito l’indirizzo con quello dell’autore dell’attacco. Quando i sistemi di protezione di OpenAI hanno bloccato il completamento dell’ordine, Atlas ha semplicemente chiesto all’assistente di Amazon, Rufus, di effettuare l’ordine addebitandolo sulla carta di credito della vittima. Un agente recluta il successivo.

Da una scheda del browser all’intero computer

La situazione peggiora nell’ambito del localhost, l’area in cui i programmi vengono eseguiti direttamente sul proprio computer, come gli strumenti di sviluppo o le console dei database. Tale area è considerata particolarmente affidabile. Comet vi è entrato senza ostacoli e ha aperto una shell inversa, ovvero il controllo remoto dell’intero computer, tramite gli strumenti di IA installati localmente, Ollama e Open WebUI. Gemini su Chrome ed Edge ha tentato di bloccare l’accesso, ma il blocco è stato rapidamente aggirato. Gemini ha poi proceduto a cancellare i server attivi nell’account AWS della vittima, mentre Edge ha corrotto un intero database SQL.

A ciò si aggiunge una tecnica che Zenity definisce «HistoryFixing». Un trucco dei browser risalente a 16 anni fa consente a un aggressore di inserire voci inventate nella cronologia di navigazione. L’assistente le legge in seguito e le considera come fatti reali che La riguardano. Le voci non scadono mai. Scompaiono solo se qualcuno cancella manualmente la cronologia.

Non tutti i fornitori intendono risolvere questo problema

Zenity ha comunicato i risultati ad Anthropic, Perplexity, Google, Microsoft e OpenAI prima della presentazione. Alcuni hanno rilasciato delle patch. Altri hanno rifiutato, definendo tale comportamento una funzionalità prevista. E le patch sono di aiuto solo fino a un certo punto: dopo che Perplexity ha bloccato l’accesso al file system, Zenity ha aggirato la correzione per ben due volte.

«Non si tratta di un bug che possiamo risolvere con una semplice patch», afferma Michael Bargury, cofondatore e CTO di Zenity. I browser hanno sempre tenuto separati i vari siti web l’uno dall’altro, in modo che una pagina qualsiasi non possa accedere al vostro conto bancario a cui avete effettuato l’accesso. Questo principio è noto come «same-origin policy». I browser basati su agenti lo superano, poiché il loro assistente ragiona sui contenuti provenienti da fonti diverse all’interno di un’unica sessione.

Cosa potete fare ora

«Un browser basato sull’intelligenza artificiale agisce sul Web come un Suo dipendente, già connesso alla propria posta elettronica, ai propri file, al calendario e alle applicazioni di lavoro», spiega Stav Cohen, responsabile del team di ricerca sulla sicurezza dell’IA presso Zenity. Il suo consiglio è di partire dal presupposto che l’agente possa essere compromesso e di rimuovere tutto ciò di cui non ha realmente bisogno. In pratica: esamini le impostazioni del Suo browser basato sull’IA e disattivi le impostazioni predefinite. Non acceda ad account importanti tramite un browser basato sull’IA, quindi né alla Sua casella di posta principale, né a GitHub, né ai Suoi servizi cloud. Limiti gli ambiti in cui all’agente è consentito agire. E non si affidi alla finestra pop-up che richiede l’autorizzazione prima di agire. Con Claude, quella modalità specifica è stata aggirata.

Per ChatGPT Atlas la questione si risolve da sé. OpenAI chiuderà il browser il 9 agosto, quindi chiunque lo stia ancora utilizzando dovrebbe prima salvare i propri dati. Gli altri quattro rimangono. E l’assistente non è l’unica parte del browser che legge i contenuti: anche le estensioni camuffate raccolgono le chat.