Η επίθεση BioShocking αποτελεί μια νέα και ιδιαίτερα ανησυχητική τεχνική prompt injection που εξαπατά AI-powered browsers και βοηθούς ώστε να παραδώσουν τα διαπιστευτήρια των χρηστών σε κακόβουλους τρίτους. Η εταιρεία κυβερνοασφάλειας LayerX ανακάλυψε ότι η BioShocking κατάφερε να ξεγελάσει έξι διαφορετικούς AI browsers και assistants, συμπεριλαμβανομένων των ChatGPT Atlas της OpenAI, του Comet της Perplexity και της επέκτασης Claude της Anthropic. Πρόκειται για μια επίθεση που δεν απαιτεί κλικ, δεν εγκαθιστά malware και μπορεί να κλιμακωθεί μέσω οποιασδήποτε κακόβουλης ιστοσελίδας.
Δείτε επίσης: Nέα επίθεση prompt injection κατά AI browsers και browser assistants
Οι σύγχρονοι AI browsers δεν περιορίζονται πλέον στην απλή ανάγνωση ιστοσελίδων. Σε agent mode, μπορούν να κάνουν κλικ, να πληκτρολογούν και να αλληλεπιδρούν με ιστοτόπους στους οποίους ο χρήστης είναι ήδη συνδεδεμένος. Αυτή ακριβώς η δυνατότητα είναι και το κεντρικό πρόβλημα ασφάλειας: ο AI agent λαμβάνει το περιεχόμενο της ιστοσελίδας και τις οδηγίες του χρήστη ως ένα ενιαίο ρεύμα κειμένου, γεγονός που επιτρέπει σε μια κακόβουλη σελίδα να εισαγάγει εντολές μεταμφιεσμένες ως απλό περιεχόμενο ή κανόνες παιχνιδιού. Αυτό είναι το κλασικό πρόβλημα του indirect prompt injection και η BioShocking το εκμεταλλεύεται με έναν εξαιρετικά έξυπνο τρόπο.
Το όνομα της επίθεσης παραπέμπει στο βιντεοπαιχνίδι BioShock, όπου ένας χαρακτήρας υπό πλύση εγκεφάλου υπακούει στη φράση-κλειδί «Would you kindly;». Ο AI agent λειτουργεί με παρόμοιο τρόπο: εμπιστεύεται το πλαίσιο που του δίνεται, και αν αλλάξει το πλαίσιο, αλλάζει και η συμπεριφορά του. Η LayerX είχε επίσης επιδείξει παρόμοιο μοτίβο στο παρελθόν, δείχνοντας ότι ένα μόνο κλικ μπορούσε να παραβιάσει το Comet της Perplexity και να κλέψει δεδομένα αθόρυβα.
Πώς λειτουργεί η επίθεση BioShocking βήμα-βήμα
Η επίθεση ξεκινά με μια ιστοσελίδα σχεδιασμένη ως γρίφος με δυστοπικό θέμα. Ο γρίφος ανταμείβει λανθασμένες απαντήσεις — για παράδειγμα, ισχυρίζεται ότι το σωστό αποτέλεσμα του 2 + 2 = 5. Μόλις ο agent αποδεχτεί ότι το «λάθος» είναι η νικηφόρα κίνηση, αρχίζει να ακολουθεί τη λογική του παιχνιδιού αντί για τη λογική ασφάλειας. Το τελευταίο βήμα του γρίφου ζητά από τον agent να αντιγράψει τα διαπιστευτήρια του χρήστη — και κανένας από τους έξι agents που δοκιμάστηκαν δεν αρνήθηκε να το κάνει.
Στο proof-of-concept (PoC) της LayerX, στάλθηκε στο θύμα ένας σύνδεσμος προς το εργασιακό του GitHub repository, από το οποίο ο agent εξήγαγε SSH login credentials και τα παρέδωσε στον επιτιθέμενο. Η LayerX χρησιμοποίησε ένα αβλαβές αρχείο απλού κειμένου, αλλά η ίδια τεχνική θα μπορούσε να στοχεύσει οποιονδήποτε πόρο είναι προσβάσιμος κατά τη διάρκεια της συνεδρίας: ανοιχτές καρτέλες, συνδεδεμένους λογαριασμούς και εσωτερικά εργαλεία. Μετά την κλοπή, ο agent ανέφερε χαρούμενα την ενέργεια ως επιτυχία.
Δείτε επίσης: DAEMON Tools Supply Chain Attack: Κυβερνητικοί οργανισμοί στο στόχαστρο
Αξίζει να σημειωθεί ότι η BioShocking δεν αντιστοιχεί σε κάποιον συγκεκριμένο CVE αριθμό, καθώς πρόκειται για behavioral exploit και όχι για κλασικό σφάλμα κώδικα. Ωστόσο, σχετικές πρόσφατες ευπάθειες στο οικοσύστημα AI περιλαμβάνουν τις CVE-2026-41947 και CVE-2026-41948 στην πλατφόρμα Dify, καθώς και την CVE-2026-33017 στο Langflow που επιτρέπει απομακρυσμένη εκτέλεση κώδικα και κλοπή cloud credentials.
Αντιδράσεις vendors και προστασία από BioShocking
Η LayerX ανέφερε το ζήτημα στους κατασκευαστές μεταξύ Οκτωβρίου 2025 και Ιανουαρίου 2026. Οι αντιδράσεις ήταν ανομοιόμορφες: η OpenAI διόρθωσε το πρόβλημα στο ChatGPT Atlas, ενώ η Perplexity έκλεισε την αναφορά χωρίς να λάβει μέτρα. Η Anthropic προσπάθησε να επιδιορθώσει την επέκταση Claude, αλλά σύμφωνα με τη LayerX η διόρθωση δεν κράτησε. Οι εταιρείες Fellou, Genspark και Sigma δεν απάντησαν καθόλου.
Για να αντιμετωπιστεί η BioShocking και παρόμοιες επιθέσεις, η LayerX προτείνει συγκεκριμένα μέτρα. Πρώτον, οι AI browsers πρέπει να ζητούν ρητή επιβεβαίωση από τον χρήστη πριν διαβάσουν δεδομένα από συνδεδεμένους λογαριασμούς — ένα απλό μήνυμα όπως «Πρόκειται να αντιγράψω δεδομένα από το GitHub repository σας. Συνεχίζω;» θα έσπαγε την αλυσίδα της επίθεσης. Δεύτερον, τα συστήματα πρέπει να εντοπίζουν πότε μια σελίδα ισχυρίζεται ότι «οι συνήθεις κανόνες δεν ισχύουν πλέον» και να αποτρέπουν τον agent από το να εισέλθει σε φανταστική κατάσταση. Τρίτον, οι χρήστες πρέπει να μπορούν να ορίζουν αυστηρά όρια στο τι μπορεί να αγγίξει ένας agent.
Δείτε επίσης: GitHub Actions: Supply chain attack κλέβει διαπιστευτήρια CI/CD
Για τους οργανισμούς, η λογική κλιμακώνεται: ένας AI browser σε agent mode είναι ουσιαστικά ένας επιπλέον λογαριασμός με πρόσβαση σε εταιρικά συστήματα, και πρέπει να του παρέχεται η ελάχιστη δυνατή πρόσβαση για κάθε εργασία. Ερευνητές όπως η Devashri Datta έχουν προτείνει το πλαίσιο AIVEX για την καλύτερη αξιολόγηση της σοβαρότητας τέτοιων AI-specific ευπαθειών, επισημαίνοντας ότι τα παραδοσιακά CVSS scores δεν αποτυπώνουν επαρκώς τους πραγματικούς κινδύνους. H κοινή συνισταμένη όλων αυτών των ευρημάτων είναι ότι η παραχώρηση στον AI agent πρόσβασης στους συνδεδεμένους λογαριασμούς μετατρέπει ένα jailbreak από ακίνδυνο τέχνασμα σε πραγματική παραβίαση.
🔑 Ασφαλίστε τους κωδικούς σας με Proton Pass
Password manager από την Proton — end-to-end κρυπτογράφηση, passkeys, ενσωματωμένο 2FA και παρακολούθηση για διαρροές των στοιχείων σας.
- ✔ Κρυπτογραφημένη αποθήκευση κωδικών & passkeys
- ✔ Ειδοποίηση αν κάποιος κωδικός σας διέρρευσε (Dark Web Monitoring)
- ✔ Δωρεάν έκδοση — σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
