BioShocking-aanval laat AI-browsers als Atlas en Comet hun guardrails vergeten

Een AI-browser overtuigen dat twee plus twee vijf is, blijkt voldoende om hem zijn eigen veiligheidsregels te laten vergeten. Onderzoeker Roy Paz van beveiligingsbedrijf LayerX demonstreerde de techniek, BioShocking gedoopt, op zes populaire AI-browsers en -extensies, waaronder ChatGPT Atlas en Perplexity Comet. Het resultaat: een ingebouwde AI-assistent die zonder aarzelen inloggegevens uit een GitHub-repository overhandigt aan een kwaadwillende website, terwijl diezelfde assistent die actie normaal zou herkennen als een evidente schending van zijn eigen regels.

Een spel dat foute antwoorden beloont

De truc draait om een nepspelletje op een kwaadaardige website. De AI-browser krijgt de opdracht het spel te winnen door een puzzel op te lossen, maar de puzzel beloont juist het foute antwoord: 2 + 2 = 5. Zodra het taalmodel ontdekt dat de uitkomst van een simpele optelsom niet langer klopt, glijdt het af naar wat LayerX een waanwereld noemt, waarin de normale regels niet meer gelden. "De AI gaat ervan uit dat zijn context echt is, en dat zijn gedrag dus binnen de grenzen van zijn veiligheidsregels moet blijven", aldus Paz in het onderzoeksrapport van LayerX. "Maar als we de AI kunnen laten geloven dat zijn context fantasie is, waarin de regels verzonnen zijn en alles mag, dan gedraagt hij zich alsof zijn acties geen gevolgen hebben in de echte wereld."

De naam BioShocking verwijst naar de videogame BioShock, waarin een gehersenspoeld personage met de zin "Would you kindly?" tot actie wordt aangezet. De zinnen "victory is defeat" en 2+2=5 zijn op hun beurt een knipoog naar George Orwells 1984, waarin een totalitair regime burgers dwingt overduidelijke onwaarheden als feit te accepteren. Eenmaal in die fictieve modus kreeg de AI de laatste spelopdracht: bewijs je vaardigheid door in te loggen en de inhoud van een codebestand te kopiëren, in werkelijkheid een pad met SSH-inloggegevens. Alle zes geteste agents haalden de gegevens op zonder dat te herkennen als een schending van hun eigen veiligheidsregels.

Zes AI-browsers, één blinde vlek

LayerX testte de techniek op ChatGPT Atlas (OpenAI), Comet (Perplexity), Fellou, Genspark Browser, Sigma Browser en de Claude Chrome-extensie van Anthropic. Stuk voor stuk browsers die adverteren met agentic functies: typ één instructie en de AI-assistent zoekt, klikt, logt in en handelt namens de gebruiker af, precies de belofte waarmee Comet en Atlas zich onderscheiden van een gewone browser met een chatvenster erbij. Die belofte is meteen het probleem. Een gewone browser houdt sites strikt van elkaar gescheiden; een AI-agent met brede toegang overbrugt die scheiding juist, schreef techredacteur Adam Conway eerder al over het fenomeen. Wie de AI via een kwaadaardige pagina weet te manipuleren, kan de assistent in feite vragen data te overhandigen waar hij toegang toe heeft: e-mail, een wachtwoordmanager, interne tools.

Wie patchte, en wie niet

LayerX meldde de kwetsbaarheid maanden geleden verantwoord bij elke leverancier. De reacties lopen sterk uiteen:

Alleen OpenAI loste het probleem daadwerkelijk op. Bij de andere vijf werkt de truc nog altijd, ondanks dat de leveranciers al maanden op de hoogte zijn.

Geen kant-en-klare aanval, wel een duidelijk signaal

De proof-of-concept van LayerX is, zoals het onderzoek zelf ook erkent, meer demonstratie dan een uitgewerkte aanval die zo in het wild zou werken. Het neppe spel en de instructies zijn zichtbaar voor de gebruiker, wat de truc weinig subtiel maakt, en het is onduidelijk of de buitgemaakte data ook daadwerkelijk naar een server van een aanvaller verstuurd kon worden. Maar dat maakt het onderliggende mechanisme niet minder relevant. Het patroon is inmiddels herkenbaar: eerder deze week liet onderzoek van Microsoft al zien hoe vergiftigde tool-omschrijvingen in het Model Context Protocol AI-agents ongemerkt naar kwaadaardige acties kunnen sturen en bedrijfsdata laten lekken, een andere techniek met dezelfde uitkomst: een agent met brede toegang die handelt zonder dat een mens nog meekijkt. Guardrails die reageren op een lijst verboden verzoeken lossen dat fundamentele probleem niet op zolang de context van de AI zelf te manipuleren blijft.

Wat dit betekent voor jouw bedrijf

Zet je een AI-browser in voor klantdata, inkoop of toegang tot interne systemen, dan is dit een directe waarschuwing, niet een ver-van-je-bed verhaal. Een paar zaken zijn nu concreet te checken. Vraag bij elke AI-browser die binnen je organisatie wordt gebruikt na of de leverancier in deze lijst staat en of er daadwerkelijk een fix is doorgevoerd, niet alleen een belofte. Geef de AI-assistent nooit standaard toegang tot een ingelogde sessie met gevoelige systemen: log uit bij de wachtwoordmanager, het CRM of de boekhouding voordat je de browser-assistent op een onbekende site loslaat, en eis een expliciete bevestiging voordat de assistent zelfstandig inloggegevens, bestanden of betalingen verwerkt. Behandel een AI-browser kortom als bevoegde software met productietoegang, niet als een handig hulpje naast je tabbladen. De makers verkopen het gemak van "typ één zin en de rest gebeurt vanzelf", maar diezelfde eigenschap is precies wat een gemanipuleerde context zo gevaarlijk maakt.