Zero-click AI browser hacking is een opvallende term voor een even opvallend probleem: AI-agenten die webpagina’s lezen en acties uitvoeren, kunnen worden misleid om namens de gebruiker in te grijpen. In recente research laat Zenity zien hoe aanvallers via indirecte prompt injection (IPI) controle krijgen over agentic browsers zoals ChatGPT Atlas in Chrome en Claude in de officiële Chrome-extensie. Het gevolg kan zijn dat er accounts worden overgenomen, phishingberichten worden verstuurd of zelfs ongewenste aankopen worden geplaatst.
Wat het extra zorgwekkend maakt, is dat de aanval niet leunt op een ‘klassieke’ softwarebug. In plaats daarvan profiteert de techniek van fundamentele ontwerpkeuzes van agentic browsers: ze werken als één entiteit over meerdere geauthenticeerde tabs en domeinen. Daardoor kunnen aanwijzingen op een onbetrouwbare pagina doorwerken naar andere sites waar de gebruiker al is ingelogd.
Waarom zero-click AI browser hacking anders is dan “gewone” hacks
Bij traditionele aanvallen draait het vaak om een kwetsbaarheid in code of een fout in validatie. Bij zero-click AI browser hacking gaat het om gedragsmisleiding: de agent interpreteert verborgen of beïnvloedende instructies als legitieme opdrachten. Zenity beschrijft twee lijnen: een aanval op ChatGPT Atlas door intent collision met een geplante comment, en een aanval op Claude in Chrome waarbij verborgen prompts escaleren tot account takeover.
De kern is dat de agent acties kan uitvoeren in context van actieve sessies. Dat klinkt handig voor gebruikers, maar het opent de deur voor misbruik: als je de agent stuurt naar een pagina met kwaadaardige instructies, kan hij vervolgens handelen op andere sites waar dezelfde gebruiker al geauthenticeerd is.
ChatGPT Atlas: intent collision via één comment
Zenity toont aan hoe ChatGPT Atlas kwetsbaar is voor zero-click indirect prompt injection. In plaats van een direct kwaadaardig script te moeten uitvoeren, gebruikt een aanvaller een klein ‘zaadje’ in de vorm van een comment op een X-thread. Het mechanisme heet intent collision: het idee is dat Atlas een onschuldige gebruikersaanvraag verkeerd interpreteert en in een andere richting laat sturen.
In één scenario vraagt een gebruiker Atlas om een alledaagse taak, zoals zich aanmelden voor een nieuwsbrief op basis van een X-post. Door één speciaal gemaakte opmerking wordt Atlas omgeleid naar een kwaadaardige payloadpagina. Vervolgens kan de agent doorlopen naar WhatsApp Web, contactgegevens lezen en phishingberichten naar alle contacten versturen.
In een tweede scenario stuurt de aanval Atlas richting Amazon. Daar kan de agent items aan een winkelwagen toevoegen en het verzendadres aanpassen naar de locatie van de aanvaller. Om de laatste aankoopstap te omzeilen gebruikt Atlas de ingebouwde AI-assistent Rufus om de order alsnog te plaatsen.
Deze voorbeelden maken duidelijk dat “zero-click” vooral betekent: de gebruiker hoeft de agent niet actief aan te vallen of expliciet een link te openen met schadelijke intentie. De keten kan al in gang worden gezet via beïnvloeding van wat de agent leest en hoe hij intenties samenvoegt.
Agentic browsers en het SOP/CSRF-probleem
Zenity legt ook uit waarom agentic browsers als Atlas fundamenteel anders omgaan met beveiligingsgrenzen. Door hun werkwijze — één agent die meerdere geauthenticeerde tabs tegelijk “overziet” — wordt de klassieke Same-Origin Policy (SOP) doorbroken, niet door een bug, maar door het ontwerp. Daardoor wordt het gedrag vergelijkbaar met een heropleving van het CSRF-idee: instructies op een onbekende plek kunnen leiden tot acties op andere domeinen waar de gebruiker al is ingelogd.
Met andere woorden: de agent functioneert als een brug tussen contexten. Als die brug eenmaal misbruikt wordt, kunnen opdrachten doorsijpelen naar plekken die normaal geïsoleerd zouden zijn.
Claude in Chrome: van indirecte prompt naar account takeover
Naast Atlas richt Zenity zich op Claude in de officiële Chrome-extensie. Ook hier start de aanval als zero-click indirect prompt injection, maar nu leidt de chain tot account takeover over meerdere webplatformen.
De onderzoekers beschrijven dat het misbruik steunt op de verhoogde mogelijkheden die de extensie heeft binnen een actieve usersessie. In een scenario ontvangt een slachtoffer een e-mail met daarin verborgen promptstructuren. Wanneer de gebruiker Claude vraagt om de nieuwste e-mails samen te vatten, behandelt de agent de verborgen instructies als directe commands.
Standaard veiligheidsmechanismen zouden normaal gesproken direct schadelijke codeblokken moeten tegenhouden. Toch weten aanvallers dat te omzeilen door via een rogue CDN custom NPM-packages aan te bieden. Claude wordt dan misleid om een ogenschijnlijk onschuldige import aan te roepen die stiekem payloadcode activeert.
Daarna kan de aanvaller, gebruikmakend van sessiecookies, onder andere:
- Gmail’s Atom-feed raadplegen om bericht-ID’s te verzamelen
- De volledige inhoud van e-mails parseren
- Inboxgegevens stil en op de achtergrond exfiltreren naar een server van de aanvaller
- Ook bestanden uit Google Drive delen met een door de aanvaller gecontroleerd account
Doelplatformen: Slack en X meegekaperd
Zenity beschrijft dat de aanval niet beperkt blijft tot e-mail en opslag. De onderzoekers laten zien dat dezelfde aanvalsketen ook kan worden ingezet tegen Slack en X. Daarbij kan de aanvaller een account-sign-in of een wachtwoordreset triggeren, waarna de agent Gmail kan monitoren op binnenkomende verificatiecodes. Vervolgens worden die codes doorgegeven om de sessie-overname af te ronden.
Dit is een belangrijk inzicht: zelfs als één onderdeel van de aanval ‘slechts’ gegevens leest, kan het geheel doorgroeien naar accountfuncties elders, zolang de agent binnen dezelfde sessie toegang heeft.
Geen makkelijke patch: het probleem zit in de kernfunctie
Een van de meest lastige punten uit de rapportage is dat er niet direct een eenvoudige fix is. Zenity geeft aan dat de exploit juist leunt op wat agentic browsers volgens ontwerp moeten kunnen: webcontent lezen en acties uitvoeren over geauthenticeerde domeinen heen. Dat maakt het beveiligen van de keten niet triviaal zonder de bruikbaarheid van de agent te ondermijnen.
Voor organisaties betekent dit dat het niet alleen een kwestie is van “update installeren en klaar”. Je hebt aanvullende maatregelen nodig rond sessiebeveiliging, permissies en het beperken van wat een agent mag doen wanneer hij beïnvloed wordt door onbetrouwbare input.
Praktische lessen voor teams die met AI-agenten werken
Hoewel de details van mitigatie afhankelijk zijn van de exacte omgeving, volgen uit deze research een paar duidelijke aandachtspunten. Hieronder staan richtingen die in de praktijk vaak helpen bij AI-agent risico’s.
Beperk waar de agent bij kan
Geef agenten niet automatisch toegang tot “alles”. Gebruik waar mogelijk least privilege: beperk de rechten van de browseragent tot wat nodig is voor de taak. Zet bovendien kritieke acties (zoals betalingen of het wijzigen van adressen) bij voorkeur niet in dezelfde keten als routine-opdrachten.
Behandel webinput als potentieel gevaarlijk
Zelfs ‘onschuldige’ bronnen kunnen worden gemanipuleerd. Denk aan geplante reacties, verborgen promptstructuren in content, of pagina’s die de agent naar een andere flow sturen. Door zulke input strenger te beoordelen, maak je het moeilijker om intenties te laten botsen of verborgen commando’s door te laten sijpelen.
Extra waakzaamheid bij extensies en pakketbronnen
Zenity laat zien dat CDN- en pakketmisleiding een rol kan spelen bij Claude in Chrome. Dat is een signaal om te letten op afhankelijkheden, herkomst van componenten en het beperken van wat agenten mogen laden of importeren. Voor teams die met software supply chain risico’s bezig zijn, is dit een herkenbare brug tussen AI-veiligheid en supply chain security.
Als je wilt verdiepen in supply chain en AI-achtige dreigingen, kan dit artikel helpen: QuickFox supply chain aanval en de FDMTP-backdoor.
Link met eerdere AI-security cases
De uitkomsten van Zenity passen in een bredere trend: AI-systemen kunnen worden misbruikt door de manier waarop ze informatie interpreteren en vervolgstappen uitvoeren. Eerdere publicaties op deze site gingen al in op gelijkaardige misbruikpatronen. Bijvoorbeeld:
Deze achtergrond maakt het makkelijker om de stap te begrijpen van “de agent doet iets onverwachts” naar “de agent kan echt worden ingezet voor overnames en fraude”.
Conclusie: focus op gedrag en sessies, niet alleen op code
Zero-click AI browser hacking laat zien dat de grootste risico’s bij agentic AI-browserfuncties vaak niet zitten in een traditionele kwetsbaarheid, maar in de combinatie van agentgedrag en geauthenticeerde webcontext. Door intent te beïnvloeden of verborgen instructies te introduceren, kunnen aanvallers controle krijgen over agenten zoals ChatGPT Atlas en Claude in Chrome. Vervolgens kan de agent acties uitvoeren die variëren van phishing tot het plaatsen van ongewenste bestellingen.
Voor wie AI-agenten inzet, betekent dit: kijk verder dan updates en patch management. Richt je op het beperken van toegang, het beoordelen van inputbronnen en het harden van sessies en kritieke acties. Alleen dan verklein je de kans dat een goedbedoelde agent verandert in een aanvalsvector.
