Fallos de inyección permiten a navegadores de IA actuar sobre WhatsApp y Amazon

Investigadores de Zenity demostraron ataques de prompt injection contra navegadores y extensiones con agentes de OpenAI, Google, Microsoft, Anthropic y Perplexity. El patrón, denominado intent collision, ocurre cuando el agente mezcla la solicitud legítima del usuario con instrucciones maliciosas alojadas en una página.

En una prueba, una página escrita parcialmente en hebreo convenció al navegador Atlas de abrir la sesión activa de WhatsApp Web y enviar el mismo mensaje a numerosos contactos. La cadena funcionó como un gusano de phishing, aunque no explotó una vulnerabilidad de WhatsApp.

Otra demostración logró añadir una dirección de envío y un producto al carrito de una cuenta de Amazon. Los controles de Atlas impidieron la compra directa, pero el agente pidió al asistente Rufus que la completara bajo la apariencia de una instrucción legítima del cliente.

Zenity reportó los problemas en enero. OpenAI indicó que desplegó correcciones y que Atlas será retirado el 9 de agosto; las protecciones se trasladan a las capacidades de navegación de la aplicación ChatGPT. Los investigadores sostienen que las barreras sensibles deben ser deterministas y no depender únicamente de otra clasificación del modelo.