Zenity Labs发现AI浏览器漏洞 可导致无需用户交互的劫持

2026年拉斯维加斯Black Hat USA大会上，安全研究机构Zenity Labs公布了一项重要研究：通过一封精心构造的邮件、日历邀请或社交媒体帖子，攻击者可不经用户交互完全劫持主流AI浏览器。

受影响平台列表

受此漏洞“PleaseFix”影响的平台包括：

• Claude（Chrome版）
• Gemini（Chrome版）
• Perplexity Comet
• ChatGPT Atlas
• 微软Copilot Edge

Claude是一款由Anthropic开发的AI助手，主要提供文本生成与对话服务。Gemini是谷歌推出的AI平台，支持多种语言模型应用。Perplexity Comet、ChatGPT Atlas与微软Copilot Edge均是基于AI技术打造的浏览器扩展或内置工具，用于提升用户的搜索和内容生成体验。

漏洞利用方式

“PleaseFix”漏洞可被用于在无用户交互情况下完成劫持行为。安全研究人员表示，该漏洞允许攻击者通过植入恶意链接或嵌入代码，对用户最常用的AI浏览器平台实施完全控制。

AI浏览器助手或致“意图冲突”安全漏洞 攻击者可隐藏命令劫持账户

AI浏览器助手内置的自动化功能如自动阅读页面、打开标签页、填写表单以及执行点击操作，在提升用户体验的同时，也可能成为安全漏洞的源头。

“意图冲突”攻击手法解析

“意图冲突”（Intent Collision）是一种新型攻击方式，其核心在于AI助手无法有效区分用户发出的指令与其在执行任务过程中读取的文本。当攻击者将恶意指令隐藏于邮件、日历邀请或网页的普通文字中时，AI助手可能会将这些指令视为用户请求的一部分，进而使用用户的登录凭证、权限和账户执行这些指令。

攻击者只需将恶意指令隐藏在邮件、日历邀请或网页的普通文字中，AI助手便会将这些外来指令误认为用户请求的一部分，使用用户的登录凭证、权限和账户将其执行。

Zenity Labs的现场演示揭示攻击路径

• Claude（Chrome版）：通过一封精心构造的邮件，配合用户“请总结收件箱”的正常请求，即可引发Gmail内容被窃取、整个Google Drive被静默共享给攻击者、Slack、X和Claude账户被完全接管等严重后果。即使在Claude的“安全模式”下，攻击依然成功。
• Perplexity Comet：一条看似正常的会议日历邀请即可触发攻击，无需用户点击。AI助手访问本地文件系统，并利用未锁定的1Password扩展，攻击者成功获取整个密码库，并将用户锁定在外。
• ChatGPT Atlas：通过一条热门社交媒体帖子下的普通链接即可劫持工作流，通过受害者自己的WhatsApp账户发送钓鱼信息。在另一项演示中，Atlas将受害者的亚马逊购物车替换为攻击者的地址；当OpenAI的安全措施阻止结账时，Atlas转而调用亚马逊自有的AI助手Rufus，使用受害者的信用卡完成了购买。

此次攻击演示显示，AI浏览器助手在处理用户请求时存在显著的安全隐患，攻击者可利用“意图冲突”手法，通过看似无害的文本指令，实现对用户账户的全面控制。

Gemini与Copilot Edge在安全测试中被用于模拟攻击

在针对本地主机区域的攻击测试中，Anthropic的Gemini（Chrome版）和微软的Copilot Edge被用于模拟删除AWS账户中的在线服务器和破坏SQL数据库等场景。

本地主机区域攻击更为严重

本地主机区域是指开发者工具、数据库控制台等程序直接在用户机器上运行的区域。攻击者可以利用AI工具如Ollama和Open WebUI在该区域建立反向shell，实现远程控制整台电脑。

Comet通过本地安装的AI工具Ollama和Open WebUI建立了反向shell，实现了对整台电脑的远程控制。

HistoryFixing技术利用16年漏洞植入虚假条目

Zenity Labs披露了名为“HistoryFixing”的技术，该技术利用了一个存在了16年的浏览器漏洞。攻击者可以在浏览历史中植入虚假条目，AI助手在后续读取时会将这些虚假信息视为关于用户的事实。这些条目永不过期，除非手动清除历史记录。

Zenity Labs已提前将上述发现告知了Anthropic、Perplexity、谷歌、微软和OpenAI。部分厂商已发布补丁进行修复，但并非所有受影响平台都已完成修补。