Zenity Labs kaapt vijf AI-browsers zonder één klik van de gebruiker

PleaseFix laat aanvallers de AI-agent in Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas en Copilot Edge overnemen zonder dat de gebruiker één keer klikt, demonstreerde Zenity Labs deze week op Black Hat USA 2026 in Las Vegas.

Laat je medewerkers een AI-browser gebruiken, dan staat er een agent in je netwerk die is ingelogd op hun mail, bestanden, agenda en werk-apps. Eén verborgen instructie in een gewone e-mail of agenda-uitnodiging is genoeg om die agent tegen zijn eigen gebruiker te laten werken, met diens rechten. En dit is geen bug die je even wegpatcht: Zenity meldde de bevindingen bij Anthropic, Perplexity, Google, Microsoft en OpenAI, waarna een deel van de leveranciers een update uitbracht en een ander deel het gedrag bestempelde als bedoeld productontwerp.

Hoe intent collision werkt

Een agentische browser doet twee dingen tegelijk: hij leest inhoud die hij niet vooraf kent, en hij handelt met jouw rechten. Daarmee gaat hij dwars door de same-origin-regel heen, de scheiding die sinds de jaren negentig voorkomt dat de ene website bij de data van de andere kan. De agent voegt mail, agenda en webpagina’s samen in één werkgeheugen en houdt die bronnen niet gescheiden.

Vervolgens kan hij niet zien welk deel van die inhoud data is en welk deel een opdracht. Dat is prompt-injectie: de tekst die de agent leest, bevat zelf een instructie. Zenity noemt de variant hier intent collision, omdat de verborgen instructie van de aanvaller botst met de echte opdracht van de gebruiker en die overstemt. Een tweede techniek, HistoryFixing, plant verzonnen items in de browsergeschiedenis die de agent later als feit behandelt, waardoor de manipulatie ook in latere sessies doorwerkt.

Wat de onderzoekers per browser lieten zien

PleaseFix is geen losse kwetsbaarheid maar een familie van zes aanvalsketens, elk tegen een andere agentische browser en elk zonder klik van het slachtoffer. Zenity Labs werkte ze uit tot volledige overnames van accounts, bestanden en in twee gevallen de machine zelf. Per browser lieten de onderzoekers dit zien:

• Claude in Chrome. Eén verzoek om een e-mail samen te vatten was genoeg. De onderzoekers zetten Claude’s eigen javascript_tool in om Gmail-data weg te sluizen, Google Drive met de aanvaller te delen en de accounts van Slack, X en Claude over te nemen, langs de bevestigingsvragen heen.
• Perplexity Comet. Een vergiftigde agenda-uitnodiging gaf de agent toegang tot het lokale bestandssysteem, wat uitliep op diefstal van inloggegevens en een volledige overname van het 1Password-account.
• ChatGPT Atlas. Een onschuldig uitziende link in een reactie op X kaapte de werkstroom van de agent, die daarna phishingberichten verstuurde via de WhatsApp van het slachtoffer en een Amazon-bestelling op diens creditcard doordrukte, met hulp van Amazons eigen inkoopassistent Rufus.
• Gemini in Chrome en Copilot Edge. Beide braken uit naar localhost en bereikten via ontwikkeltools als Jupyter de machine zelf. Gemini verwijderde AWS-servers, Edge beschadigde SQL-databases en lekte de privé-browsegeschiedenis.

Wie patchte, en wie niet

Zenity noemt per leverancier niet wie wel en wie niet repareerde. Van één keten is de gang van zaken wel volledig openbaar. De onderzoekers meldden de bestandstoegang in Comet op 22 oktober 2025 bij Perplexity, dat de melding op 21 november naar de hoogste ernstklasse tilde, op 4 december bevestigde en op 23 januari 2026 een patch uitbracht. Vier dagen later omzeilden de onderzoekers die met het voorvoegsel view-source:file://. Een tweede patch volgde op 11 februari en hield stand: op 13 februari was de aanval niet meer te reproduceren.

De vorm van die fix is het interessante deel. Perplexity blokkeerde file://-paden voor de agent op codeniveau, een harde grens die het model niet kan overrulen, in plaats van de agent te vragen zich netjes te gedragen.

Dat een melding niet automatisch een patch oplevert, bleek eerder deze zomer al. Manifold Security meldde in mei 2026 een lek in de Claude-extensie voor Chrome waarbij zes regels code in een kwaadaardige extensie volstonden om Claude taken op Gmail, Agenda en Salesforce af te vuren. Anthropic sloot beide meldingen binnen een dag zonder fix, en tot en met versie 1.0.80 van 7 juli bleef de fout reproduceerbaar. Dat is een andere kwetsbaarheid via een andere route dan PleaseFix. Bij LayerX ging het in juni om een derde route: alle zes geteste AI-browsers gaven na een simpele rekentruc inloggegevens prijs, en alleen OpenAI patchte dat volledig.

Wat je nu kunt doen

De aanpak die Zenity aanraadt begint bij een aanname: ga ervan uit dat de agent gekaapt wordt, bepaal wat het ergste is dat hij dan kan doen, en haal alles weg wat hij niet echt nodig heeft. Stav Cohen, teamlead AI-securityonderzoek bij Zenity, stelt dat het antwoord niet is om de AI te blijven vragen zich te gedragen, maar om harde grenzen om de agent te leggen die hij niet kan overrulen, standaard aangezet. Vier maatregelen zijn vandaag te nemen:

• Log niet met werkaccounts in. Gebruik een AI-browser niet voor zakelijke mail, AWS of GitHub. Dat haalt in één keer de gevoeligste toegang uit de keten.
• Zet de agentische standaarden uit. Loop de instellingen van de browser langs en schakel uit wat de agent uit zichzelf mag doen zolang je het niet nodig hebt.
• Begrens waar hij mag handelen. Bepaal op welke domeinen en in welke systemen de assistent actief mag zijn, in plaats van hem overal mee te nemen.
• Reken niet op de bevestigingspop-up. In de Claude-keten werd de vraag om bevestiging omzeild, dus "vraag het eerst" is geen sluitende controle.

Wat deze drie onderzoeksrondes in ruim vijf weken gemeen hebben, is dat ze niet naar een patch toe bewegen. De same-origin-regel maakte de browser vijfentwintig jaar veilig genoeg om overal in te loggen, en een agentische browser gaat daar bewust door, want dat is precies de functie waarvoor je hem installeert. Michael Bargury, medeoprichter en CTO van Zenity, framet dat als een ruil: decennia aan beveiligingswerk inleveren voor gemak. Daarmee verschuift de vraag van "is mijn browser gepatcht" naar "waar mag deze agent bij", en dat is een beslissing over toegangsrechten en beleid in plaats van wachten op een leveranciersupdate. Het is dezelfde omslag die het beveiligen van de agent zelf in plaats van alleen de gebruiker verlangt.