JBNews.id — Peneliti keamanan dari firma Zenity menemukan sekitar 20 celah keamanan pada browser dan ekstensi browser berbasis AI dari Google, Anthropic, Microsoft, dan Perplexity. Temuan ini memungkinkan peretas mengakses mesin lokal, mengambil file, membajak pengelola kata sandi, hingga membocorkan seluruh riwayat penjelajahan pengguna. Temuan tersebut dipresentasikan dalam konferensi keamanan oleh Michael Bargury, salah satu pendiri dan CTO Zenity, bersama Stav Cohen dan kolega lainnya.
Di antara semua alat browser AI yang diuji, browser Atlas milik OpenAI dinilai memiliki proteksi dan batasan keamanan paling banyak. Namun, peneliti tetap bisa melewati proteksi tersebut untuk memanipulasi sistem. “Mereka telah melemahkan kontrol keamanan browser—kita sekarang kembali melihat serangan seperti yang terjadi pada browser 20 tahun lalu,” ujar Bargury.
Integrasi AI pada browser web selama ini hadir dalam dua bentuk utama: browser khusus dengan asisten AI yang tertanam, dan ekstensi yang menambahkan produk AI ke browser yang sudah ada. Bot-bot ini dapat menavigasi situs web untuk pengguna—merangkum seluruh halaman dalam hitungan detik—serta agen yang dapat mengambil tindakan atas nama pengguna, sering kali bekerja di banyak tab sekaligus.
Serangan Prompt Injection dan Konsep Intent Collision
Kekhawatiran keamanan meningkat sejak perusahaan teknologi mulai berlomba memperkenalkan agen AI ke penjelajahan web. Karena web terdiri dari berbagai data yang tidak tepercaya, mengekspos data tersebut ke sistem AI dapat menyebabkan sistem memproses instruksi berbahaya dan serangan prompt-injection. Serangan ini, seperti yang dikatakan kepala keamanan OpenAI tahun lalu, merupakan “masalah keamanan yang belum terpecahkan.”
Para peneliti juga berulang kali memperingatkan bahwa praktik keamanan web yang sudah lama ada, seperti kebijakan same-origin yang mencegah situs web saling berinteraksi, bisa menjadi “tidak efektif” ketika berhadapan dengan agen AI.
Para peneliti menyebut serangan ini sebagai contoh dari apa yang mereka sebut “intent collision,” yaitu ketika AI menggabungkan instruksi sah dari pengguna dengan instruksi jahat dari web untuk menyelesaikan tujuan peretas. Serangan ini tidak mengeksploitasi kerentanan pada WhatsApp, melainkan bekerja dengan melewati berbagai mekanisme keamanan yang diterapkan OpenAI.
Bukti Serangan pada Atlas dan Amazon
Dalam serangan proof-of-concept pertama, peneliti Zenity meminta Atlas untuk mendaftar ke tautan buletin yang mereka unggah di X. Halaman web berbahaya yang berisi proses pendaftaran tersebut memuat instruksi dalam bahasa Ibrani yang memerintahkan AI untuk mengakses akun WhatsApp Web pengguna yang sedang masuk dan mengirim pesan yang sama ke setiap kontak. Para peneliti menggambarkannya sebagai “kampanye phishing massal.”
“Yang akan dilakukan adalah melalui setiap kontak satu per satu dan mengirim instruksi untuk bergabung dengan buletin ini juga—jadi ini adalah worm,” kata Bargury. “Anda sekarang menginfeksi teman dan keluarga Anda.”
Serangan tersebut bekerja dengan melewati beberapa mekanisme keamanan OpenAI, termasuk merancang halaman pendaftaran buletin yang tampak sah dan bukan sesuatu yang mencoba meretas orang, menulis dalam bahasa Ibrani untuk menghindari alat keamanan berbahasa Inggris, dan mengklaim (secara palsu) bahwa sistem menggunakan versi sandbox WhatsApp Web dengan orang-orang palsu, bukan yang sebenarnya.
Selanjutnya, peneliti beralih ke Amazon. Menggunakan pendekatan serupa—membuat Atlas mendaftar ke halaman buletin palsu dengan instruksi berbahaya—peneliti membuat browser menambahkan alamat pengiriman ke akun Amazon yang masuk dan menambahkan tablet ke keranjang belanja. Namun, ketika mencoba membuat sistem membeli barang tersebut, mereka tidak menemukan cara untuk melewati langkah-langkah keamanan OpenAI.
Pada akhirnya, mereka berhasil membuat Atlas meminta asisten belanja AI Amazon, Rufus, untuk melakukan pembelian. “Rufus tidak dibajak atau disuntik, ia hanya diminta, oleh apa yang dianggapnya sebagai pelanggan, dan ia mematuhinya,” tulis para peneliti dalam postingan blog.
Respons OpenAI dan Implikasi Keamanan
Para peneliti melaporkan temuan ini kepada OpenAI pada Januari. “Awal tahun ini, kami menerapkan pembaruan untuk mengatasi masalah ini dan memperkuat proteksi di Atlas, yang akan dihentikan pada 9 Agustus,” kata juru bicara OpenAI. “Proteksi ini meluas ke kemampuan browser di aplikasi ChatGPT yang baru.” Juru bicara menambahkan bahwa serangan prompt-injection adalah sesuatu yang secara aktif diteliti OpenAI dan telah menerbitkan berbagai riset tentang hal tersebut.
WhatsApp menolak berkomentar mengenai temuan ini, sementara Amazon tidak merespons permintaan komentar. Meskipun serangan ini kompleks dan peretas kriminal di dunia nyata memiliki banyak cara yang lebih mudah untuk mendapatkan apa yang mereka inginkan—seperti phishing langsung atau menggunakan detail login yang dicuri—peneliti Zenity menekankan pentingnya desain sistem keamanan yang tepat.
Para peneliti menyarankan agar ketika merancang sistem AI, penghalang keamanan “deterministik” atau keras harus digunakan, bukan hanya penilaian atau klasifikasi sistem AI, karena sistem AI hampir selalu bisa dibodohi. “Anda menempatkan diri Anda dalam situasi di mana browser dapat sepenuhnya dibajak dan akun Anda dapat dikompromikan, data Anda dapat bocor,” kata Bargury. “Kita harus sangat berhati-hati dalam merencanakan tingkat akses yang dibutuhkan agen ke browser dan tingkat kewenangan yang mereka gunakan untuk memanfaatkan browser tersebut.”
Temuan Zenity ini menambah daftar panjang kekhawatiran keamanan siber seputar adopsi AI dalam produk konsumen. Sebelumnya, model OpenAI bobol lebih luas juga sempat memicu pertanyaan tentang kesiapan keamanan perusahaan. OpenAI sendiri tengah menghadapi berbagai sorotan, termasuk kontroversi brand trip dan gugatan hukum terkait Apple.
Bagi pengguna umum, temuan ini menjadi pengingat bahwa agen AI yang ditanamkan ke browser membawa risiko keamanan baru yang belum sepenuhnya teratasi. Meskipun OpenAI telah menerapkan pembaruan dan akan menghentikan Atlas, kategori produk browser AI secara keseluruhan masih menghadapi tantangan keamanan fundamental. Perusahaan teknologi perlu mempertimbangkan ulang tingkat akses yang diberikan kepada agen AI dan memastikan penghalang keamanan yang lebih kokoh sebelum teknologi ini diadopsi secara luas.
