‏پلیزفیکس؛ رخنه‌ای که مرورگرهای هوشمند رو علیه خودت می‌کنه

به گزارش Zenity Labs، تو کنفرانس Black Hat USA 2026 تحقیق تازه‌ای رونمایی شده که نشون می‌ده یه دسته آسیب‌پذیری به اسم PleaseFix روی مرورگرهای مجهز به ایجنت هوش مصنوعی (یعنی مرورگرهایی که یه دستیار AI داخلشون خودش کارها رو انجام می‌ده) کار می‌کنه. این رخنه به مهاجم اجازه می‌ده ایجنت رو بدزده و علیه خود کاربر به کارش بگیره، بدون اینکه کاربر کلیک کنه، تأیید بده یا اصلاً بدونه داره چه اتفاقی می‌افته.

به گفتهٔ Michael Bargury یکی از بنیان‌گذاران Zenity، این مرورگرها اصل same-origin (یعنی قانونی که سایت‌ها رو از هم جدا نگه می‌داره تا یه سایت random به حساب بانکی لاگین‌شده‌ت دست نزنه) رو می‌شکنن. ایجنت داخل یه نشست احراز هویت‌شده به ایمیل، فایل، تقویم و سرویس‌های متصل دسترسی داره. مهاجم با تکنیکی که Zenity بهش می‌گه Intent Collision، دستور مخفیش رو لای محتوایی مثل ایمیل یا دعوت تقویم می‌ذاره و درخواست واقعی کاربر رو منحرف می‌کنه.

نمونه‌ها ترسناکن. تو Claude in Chrome محققا ابزار داخلی جاوااسکریپت ایجنت رو به سلاحی تبدیل کردن که با یه ایمیل مخرب، از دل یه درخواست ساده مثل «ایمیل‌هام رو خلاصه کن»، داده‌های Gmail رو بیرون کشیده و کل Google Drive قربانی رو بی‌صدا با مهاجم به اشتراک گذاشته. تو Perplexity Comet هم یه دعوت‌نامه تقویم آلوده کافی بوده تا ایجنت به فایل‌های محلی برسه و کل حساب 1Password کاربر رو تصاحب کنه.

نویسنده‌ها نشون دادن وقتی ایجنت به localhost (امن‌ترین ناحیهٔ یه دستگاه که ابزار توسعه و دیتابیس‌های داخلی اونجان) می‌رسه، حمله از مرورگر به کل ماشین کشیده می‌شه. Comet از طریق Ollama و Open WebUI محلی یه reverse shell کامل باز کرده و کنترل ماشین رو داده دست مهاجم، Gemini همین کارو با Jupyter کرده و Edge هم یه دیتابیس SQL رو خراب کرده. یه تکنیک دیگه به اسم HistoryFixing هم ورودی‌های جعلی تو تاریخچهٔ مرورگر می‌کاره که ایجنت بعداً به‌عنوان واقعیت بهش اعتماد می‌کنه.

به گفتهٔ Zenity، این یافته‌ها به‌صورت مسئولانه به Anthropic، Perplexity، Google، Microsoft و OpenAI گزارش شده؛ بعضی وصله دادن و بعضی گفتن این رفتار «عملکرد موردنظر» بوده. Bargury تأکید می‌کنه این یه باگ نیست که با وصله حل شه، بلکه یه نقص «over-agency» و نتیجهٔ ذاتی همون طراحی‌ایه که این مرورگرها رو مفید می‌کنه. یعنی تا وقتی ایجنت هم محتوای نامعتبر می‌خونه و هم قدرت عمل داره، این خطر سر جاشه.

نکات کلیدی:

• PleaseFix روی Claude in Chrome، Gemini in Chrome، Perplexity Comet، ChatGPT Atlas و Copilot Edge نمایش داده شد
• حمله zero-click هست: فقط با یه ایمیل، دعوت تقویم یا لینک زیر یه پست، بدون کلیک کاربر
• تکنیک Intent Collision دستور مهاجم رو با درخواست واقعی کاربر قاطی می‌کنه
• پیامدها: دزدی Gmail و Drive، تصاحب حساب 1Password، باز شدن reverse shell و کنترل کامل ماشین
• Bargury می‌گه این یه نقص over-agency و ذاتی طراحیه، نه باگ قابل‌وصله