Perplexity推出的AI瀏覽器Comet可被誘騙，研究人員引導至冒牌電商網站自動下單

生成式AI已逐漸融入你我的生活，其中一項就是被整合到瀏覽器當中，不僅常見的瀏覽器Chrome、Edge、Brave已整合AI助理，AI業者Perplexity也推出自家瀏覽器Comet、OpenAI為ChatGPT加入Agent Mode，試圖顛覆使用者的上網體驗，然而整合AI代理程式帶來的便利，也可能成為攻擊者眼中的肥羊，他們有可能誘騙AI機器人上當，讓它們存取釣魚網站、假電商平臺，或是透過隱匿的惡意提示進行互動，過程中完全不會有使用者介入。

資安業者Guardio提出警告，這些AI瀏覽器雖然能透過代理程式機器人將使用者處理電子郵件、線上購物等上網活動自動化，但他們的研究結果發現，這些便利的背後存在著資安隱憂，原因是在導入這種代理AI機制之後，也為瀏覽器帶來AI的相關弱點，而有可能在沒有完整的資訊下採取行動、過於容易信任，並且在人類自然會存疑的情況下執行有問題的指示。

換言之，AI瀏覽器有可能在使用者不知情的情況下，點選、下載、處理敏感資料。Guardio指出，在瀏覽器整合AI之後，攻擊者不再需要愚弄使用者，而是只要對AI下手，就能造成使用者損失，他們稱呼這種新的詐騙模式為Scamlexity。

為了驗證上述的理論，Guardio挑選AI業者Perplexity出品的Comet進行測試，設置3種場景來進行實驗，從冒牌Walmart電商網站、用於攻擊行動的富國銀行（Wells Fargo）釣魚網域，對瀏覽器的AI代理程式進行ClickFix網釣攻擊，藉由在偽造的CAPTCHA圖靈驗證機制埋入提示注入，從而直接控制代理程式，該公司將這種用於對AI下手的手法稱做PromptFix。

在攻擊模擬嘗試時，Guardio首先測試其最常主打的功能一項功能，那就是協助用戶購買特定的物品，找到有貨的電商網站下單並進行結帳。他們透過AI網頁製作工具Lovable打造了冒牌Walmart商城進行測試，要求Comet的AI購買Apple Watch，結果瀏覽器在幾乎沒有察覺異狀的情況下，直接存取假商城下單，並填入瀏覽器儲存的信用卡資料及地址完成購買，過程中完全沒有要求使用者確認。

接著他們要以用戶會透過AI處理電子郵件信箱收到的特定郵件為背景，使用ProtonMail服務寄送釣魚郵件，研究人員假冒富國銀行的投資經理寄送，並於信件內容挾帶一個真實的釣魚網站網址，但該網站並未被Google Safe Browsing識別有害。結果Comet在收到電子郵件後，就直接標記為待辦事項，並在未經過驗證的情況下點選連結，要求使用者輸入相關帳密，甚至協助填寫表單。

最後一種則是涉及提示注入的網釣手法PromptFix，Guardio結合對針對人類的ClickFix手法，他們將用於欺騙人類複製惡意指令的假圖靈驗證網頁，在隱藏的文字方塊埋入對AI代理提示注入的指令，一旦瀏覽器存取該網頁，就會直接讀取這些提示。