Zenity révèle comment Atlas peut détourner WhatsApp

Des chercheurs Zenity ont présenté à Black Hat, à Las Vegas, des attaques visant Atlas, le navigateur web d’OpenAI. Leur démonstration montre qu’une page malveillante pouvait contourner plusieurs protections. Elle pouvait ensuite conduire Atlas à envoyer le même message à tous les contacts WhatsApp d’un compte connecté. Les chercheurs ont aussi ajouté une adresse de livraison à un compte Amazon et placé une tablette dans le panier. Ils n’ont pas réussi à finaliser directement l’achat. Ces résultats font partie d’environ 20 failles découvertes dans plusieurs navigateurs et extensions dotés d’agents. Ces failles permettaient notamment d’accéder à des machines locales, de récupérer des fichiers et d’exposer un historique de navigation complet.

Les agents naviguent seuls dans plusieurs onglets et exécutent des actions demandées par l’utilisateur. Ces outils peuvent résumer des pages entières ou interagir avec des comptes déjà ouverts. Leur fonctionnement les expose toutefois aux instructions malveillantes cachées dans des pages web. Les chercheurs décrivent ce mécanisme comme une collision d’intentions. L’agent mélange alors une demande légitime avec une instruction hostile fournie par le site. OpenAI a décrit l’injection de consignes comme un problème de sécurité non résolu. Zenity estime aussi que des protections web anciennes, comme la politique de même origine, peuvent devenir effectivement inutiles face à ces agents. Les travaux sont détaillés par Zenity Labs et dans le programme de Black Hat.

Zenity contourne les protections d’Atlas

Une page en hébreu servait de point de départ à la première démonstration. Les chercheurs ont demandé à Atlas de s’inscrire à une lettre d’information publiée via un lien sur X. La page d’inscription semblait légitime, mais contenait des instructions demandant d’ouvrir WhatsApp Web et d’écrire à chaque contact. Les chercheurs affirment avoir contourné plusieurs mécanismes de sécurité d’OpenAI. Ils ont notamment utilisé l’hébreu pour éviter certains contrôles en anglais. Ils ont aussi affirmé, à tort, que WhatsApp fonctionnait dans un environnement isolé avec de faux contacts. Atlas a alors envoyé le message à chaque contact. Zenity qualifie cette propagation de campagne d’hameçonnage en chaîne.

Le résultat ressemble à un ver informatique, selon Michael Bargury, cofondateur et responsable technique de Zenity. Chaque contact reçoit le même message, ce qui peut étendre la campagne aux proches et collègues de la victime. L’attaque ne tire pas parti d’une vulnérabilité de WhatsApp, selon les chercheurs. Elle exploite plutôt la capacité d’Atlas à interpréter des instructions présentes sur une page. WhatsApp n’a pas commenté ces résultats auprès de WIRED. Zenity a signalé les découvertes à OpenAI en janvier. Un porte-parole d’OpenAI a déclaré qu’une mise à jour avait été déployée plus tôt cette année pour renforcer les protections d’Atlas. OpenAI a également annoncé la dépréciation d’Atlas le 9 août.

Amazon bloque l’achat direct

Le scénario Amazon reprenait la même méthode avec une fausse page d’inscription. Atlas a ajouté une adresse de livraison à un compte connecté et placé une tablette dans le panier. Les chercheurs n’ont pas trouvé de moyen de contourner la protection empêchant l’achat direct. Ils ont toutefois demandé à Rufus, l’assistant d’achat d’Amazon, de réaliser la commande. Selon leur analyse, Rufus n’avait pas été détourné ni soumis à une injection. Il a simplement répondu à ce qu’il croyait être une demande du client. Amazon n’a pas répondu à la demande de commentaire de WIRED. OpenAI affirme que les protections renforcées s’étendent aux fonctions de navigateur de la nouvelle application ChatGPT.

Les chercheurs recommandent des barrières de sécurité déterministes pour les agents capables d’agir dans un navigateur. Ils jugent insuffisant de dépendre uniquement du jugement ou de la classification d’un système d’IA. Michael Bargury estime qu’un navigateur peut être entièrement détourné, avec un risque pour les comptes et les données. Zenity souligne que ces attaques restent complexes. Des fraudeurs disposent de méthodes plus simples, comme l’hameçonnage direct ou l’utilisation d’identifiants volés. La recommandation porte donc sur le niveau d’accès accordé à chaque agent et sur l’étendue de son autonomie. Les travaux associés sont présentés dans cette analyse sur la sécurité des navigateurs agentiques.