AI in je browser: Automatisch kwetsbaar voor aanvallers

De voorbije maand hebben zowel Perplexity als ChatGPT een eigen browser gelanceerd: Comet en Atlas. De AI erin gaat browsen slimmer maken: AI kijkt mee, denkt mee en kan zelfs taken voor je uitvoeren. Handig, maar deze nieuwe functies zetten de deur open voor geautomatiseerd misbruik, waardoor het AI-systeem handelingen kan uitvoeren in jouw naam en met jouw login-gegevens zonder je toestemming.

In de woorden van beide bedrijven krijg je een browser waarin een AI-assistent continu met je meedenkt. Je kan webinhoud laten samenvatten, analyseren of vergelijken, zonder iets te kopiëren naar een aparte tab (want dat kost volgens Perplexity en ChatGPT te veel tijd).

Daarnaast kan de browser taken overnemen: formulieren invullen, mails beantwoorden of zelfs dringend mails opsporen. Beide toepassingen gaan nog verder met een persoonlijke assistentenfunctie die helpt bij online aankopen, het plannen van reizen of het beheren van agenda-afspraken.
 

Om die functies mogelijk te maken, heeft de browser toegang nodig tot alles wat je erin doet. Dat betekent dat je surfgeschiedenis, zoekopdrachten en soms zelfs e-mails worden verwerkt door de achterliggende AI-systemen.

Bij Perplexity wordt vrij expliciet vermeld dat deze data later kunnen worden gebruikt voor advertentiedoeleinden. ChatGPT lijkt voorzichtiger in de communicatie, maar ook daar kunnen gegevens hergebruikt worden.

De echte uitdaging zit dieper dan privacy. De nieuwe generatie AI-browsers combineert input van het web met input van gebruikers en dat geeft nieuwe mogelijkheden aan aanvallers die bijvoorbeeld op je bankgegevens uit zijn.

Omdat de AI-browser geen onderscheid maakt tussen jouw instructies en verborgen commando’s op websites, kunnen kwaadwilligen misbruik maken van zogenaamde prompt injections: verborgen opdrachten die in een webpagina, afbeelding of URL verstopt zitten.

Wanneer je dan een onschuldige vraag stelt, kan de browser onbedoeld instructies uitvoeren zonder je toestemming. Bijvoorbeeld door een verborgen prompt in een e-mail die het LLM (een groot taalmodel als Perplexity en ChatGPT) de opdracht geeft om wachtwoorden, e-mails of andere gevoelige gegevens door te sturen. De browser wordt zo ongewild een toegangspoort voor misbruik.

De onderstaande video toont een voorbeeld van een prompt injection in Comet. 

Zolang Perplexity en ChatGPT hun browsers niet beschermen tegen prompt injections is het gevaarlijk om deze browsers te vertrouwen met je logingegevens en online identiteit. Het uitproberen in een gecontroleerde omgeving kan, maar zelfs dan blijft de kans bestaan dat je Perplexity- of ChatGPT-accountgegevens worden doorgegeven.

Afbeelding door Yutong Liu & Digit uit de betterimagesofai library. 

AI attributie: Dit werk is voornamelijk door mensen gemaakt. AI werd gebruikt om stilistische bewerkingen aan te brengen, zoals wijzigingen in de structuur, de bewoordingen en de duidelijkheid. Door AI gegenereerde inhoud werd beoordeeld en goedgekeurd door de auteur. De volgende modellen of toepassingen werden gebruikt: ChatGPT-5. AIA Ph Se Hin R ChatGPT-5 v1.0