AI prehliadače otvárajú útočníkom cestu k prihláseným účtom

Agentické AI prehliadače už iba neodpovedajú na otázky, ale samy otvárajú weby, čítajú obsah kariet a vykonávajú akcie za používateľa. Výskumníci z University of Washington zistili, že pri najmenej štyroch zo siedmich testovaných nástrojov vznikli podmienky na oslabenie základnej bezpečnostnej hranice webu. Pre používateľov aj firmy to znamená, že AI prehliadač treba brať skôr ako privilegovaný pracovný nástroj než ako bežný chatbot.

Klasický chatbot je rizikový najmä tým, čo mu používateľ sám napíše alebo nahrá. Agentický prehliadač má širší dosah: môže pracovať s otvorenými kartami, prihlásenými reláciami, cookies, firemnými nástrojmi alebo lokálnymi službami dostupnými z počítača používateľa. Ak dostane škodlivú inštrukciu vloženú do webovej stránky, dokumentu alebo e-mailu, riziko sa mení z chybnej odpovede na možný neoprávnený prístup k dátam.

University of Washington uvádza, že jej výskumníci testovali sedem populárnych agentických AI prehliadačov. Pri najmenej štyroch zo siedmich našli podmienky, pri ktorých mohol browserový agent oslabiť alebo obísť pravidlo rovnakého pôvodu, známe ako same-origin policy.

Toto pravidlo patrí k základom bezpečnosti webu. Mozilla Developer Network ho opisuje ako mechanizmus, ktorý obmedzuje, ako môže dokument alebo skript načítaný z jedného webového originu interagovať so zdrojmi z iného originu. V praxi má zabrániť tomu, aby stránka z jedného webu čítala obsah účtu alebo dát z iného webu, na ktorom je používateľ prihlásený.

Problém pri AI agentovi vzniká tým, že sa stáva sprostredkovateľom medzi viacerými zdrojmi. Webová stránka môže obsahovať text, ktorý používateľ ani nemusí vnímať ako príkaz, no model ho spracuje ako inštrukciu. Ak agent zároveň vidí alebo dokáže otvoriť iné karty, môže sa stať mostom cez hranicu, ktorú bežný webový skript prekročiť nemá.

V akademickom texte Agentic Browsers and the Same-Origin Policy autori David Kohlbrenner, spoluautor výskumu z Paul G. Allen School of Computer Science & Engineering na University of Washington, a Franziska Roesner, profesorka informatiky na University of Washington, opisujú aj úspešný proof-of-concept útok na ChatGPT Atlas. Podľa autorov môže prompt injection zneužiť agenta na krížový prístup k obsahu medzi rôznymi webovými originmi.

Prompt injection nie je len teoretická hra s textom. Britské National Cyber Security Centre upozorňuje, že dnešné veľké jazykové modely spoľahlivo nevynucujú hranicu medzi inštrukciami a dátami v prompte. To je zásadný rozdiel oproti klasickým útokom na softvér, kde sa bezpečnosť dá častejšie postaviť na pevnejšom technickom oddelení kódu a vstupov.

OWASP Foundation v odporúčaniach pre bezpečnosť AI agentov medzi hlavnými rizikami uvádza priame aj nepriame prompt injection, zneužitie nástrojov, eskaláciu oprávnení a exfiltráciu dát. Pri agentickom prehliadači to znamená, že škodlivý obsah nemusí používateľa presvedčiť, aby niečo urobil. Stačí, ak presvedčí agenta, ktorý už má prístup k nástrojom a účtom.

Najcitlivejšie sú účty, v ktorých je používateľ v prehliadači stále prihlásený. Môže ísť o e-mail, cloudové úložisko, firemný intranet, CRM systém, účtovníctvo, interný chat alebo dokumenty otvorené v iných kartách. Riziko rastie aj pri lokálnych službách, ktoré bežia na počítači alebo vo firemnej sieti a bežný používateľ ich nevníma ako web prístupný cez prehliadač.

Pre bežného používateľa z toho nevyplýva, že má každý AI prehliadač okamžite prestať používať. Vyplýva z toho, že ho nemá používať v rovnakom profile, v ktorom je trvalo prihlásený do banky, e-mailu, zdravotných služieb alebo pracovných systémov. Agentovi treba dať čo najmenej možností vidieť a konať mimo úlohy, ktorú má práve splniť.

Základné bezpečnejšie nastavenie môže vyzerať takto:

• používať AI prehliadač v oddelenom profile alebo samostatnom prehliadači bez citlivých prihlásení,
• neprihlasovať sa v ňom do internetbankingu, súkromného e-mailu a účtov s citlivými dokumentmi,
• vypnúť alebo obmedziť prístup k rozšíreniam, histórii, súborom a synchronizácii, ak ich agent nepotrebuje,
• pred potvrdením akcie skontrolovať, čo chce agent odoslať, stiahnuť, zmazať alebo zdieľať,
• pri práci s neznámymi webmi nepúšťať agenta k otvoreným firemným kartám a interným systémom.

Firmy by mali byť prísnejšie, pretože agentický prehliadač sa môže dostať k dátam, ktoré jednotlivý zamestnanec vidí len ako súčasť bežnej práce. Nestačí všeobecné pravidlo, že zamestnanci nesmú do AI nástrojov vkladať citlivé údaje. Ak agent číta stránku, otvorenú kartu alebo interný systém sám, firma musí riešiť aj to, čo nástroj vidí bez priameho kopírovania textu používateľom.

Minimom pre organizáciu je oddeliť testovanie AI agentov od produkčných účtov. IT oddelenie by malo nastaviť samostatné profily, spravované zariadenia alebo sandbox prostredia a rozhodnúť, ku ktorým webom a interným aplikáciám sa agent vôbec dostane. Pri citlivých pozíciách, napríklad vo financiách, práve, personalistike alebo vývoji, dáva zmysel zakázať používanie agentických prehliadačov s pracovným e-mailom a internými dokumentmi, kým firma nepozná ich správanie a možnosti auditu.

Slovenský kontext je dôležitý preto, že AI sa do pracovných návykov dostáva skôr, než mnohé organizácie prijmú interné pravidlá. OECD vo svojom prehľade o Slovensku za rok 2026 uvádza, že v roku 2025 používalo AI 29 percent veľkých slovenských podnikov, 16 percent stredných a 9 percent malých. Vo všetkých troch kategóriách to bolo pod priemerom Európskej únie, no aj tieto čísla znamenajú, že AI nástroje už nie sú okrajový experiment.

Bezpečnostná regulácia sa zároveň posúva aj k AI systémom. Národná autorita pre certifikáciu kybernetickej bezpečnosti na Slovensku uvádza, že pracuje aj s témou certifikačných schém pre AI, čo naznačuje posun od všeobecných odporúčaní ku konkrétnejšiemu posudzovaniu bezpečnosti. Národný bezpečnostný úrad už pri upozornení na AI model DeepSeek v januári 2025 zdôrazňoval rozsah zbieraných používateľských dát a možné bezpečnostné dôsledky.

Otvorenou otázkou zostáva, ako rýchlo výrobcovia agentických prehliadačov oddelia dáta od inštrukcií a ako jasne používateľom ukážu, ktoré karty, cookies, súbory a prihlásené relácie môže agent pri práci reálne vidieť.