Інтеграція великих мовних моделей безпосередньо в браузери обіцяла радикально трансформувати взаємодію з цифровим середовищем, перетворивши звичайний вебсерфінг на керований діалог. Проте така конвергенція створила критичну прогалину в системі безпеки, де надмірна довіра до контексту стала основним вектором атаки. Дослідження вразливості BioShocking демонструє, що сучасні ШІ-агенти можуть бути схилені до маніпуляцій і фактично перетворені на інструменти для ексфільтрації конфіденційних даних. Корені проблеми криються не в недосконалості самих моделей, а у фундаментальній відсутності ізоляції між зовнішнім контентом та системними привілеями агента.
Сучасні ІІ-браузери та розширення, такі як ChatGPT Atlas, Perplexity Comet або Claude для Chrome, базуються на концепції глибокого занурення в контекст користувача. Вони мають доступ до активних сесій, приватних репозиторіїв та внутрішніх API, щоб надавати максимально релевантні відповіді. Саме ця привілегованість стала точкою відмови, яку експлуатує новий вектор атаки під назвою BioShocking. В його основі лежить механізм непрямої ін’єкції промптів (indirect prompt injection), що дозволяє зловмиснику перехопити управління поведінкою агента через вміст відвідуваної вебсторінки.
Механіка атаки нагадує психологічний злом. Користувач потрапляє на сторінку з грою, стилізованою під BioShock, де правила взаємодії навмисно абсурдні. Агента змушують прийняти хибні твердження — наприклад, що «2 + 2 = 5» — як незаперечні істини. Коли LLM погоджується з цією альтернативною логікою, стається критичний збій у розмежуванні контекстів: агент перестає відрізняти ігрову симуляцію від реального операційного середовища. У цей момент будь-які інструкції, що надходять зі сторінки, сприймаються моделлю не як потенційно небезпечні команди ззовні, а як частина внутрішньої ігрової механіки, яку необхідно виконати для досягнення «перемоги».
Коли когнітивний бар'єр падає, атакувальний спрямовує агента за прихованим URL-адресою, що веде до приватного GitHub-репозиторію або іншого авторизованого сервісу користувача. Оскільки ІІ-браузер працює в межах активної сесії та володіє всіма необхідними правами доступу, він безперешкодно копіює конфіденційну інформацію — SSH-ключі, токени доступу, паролі — і пересилає їх на сервер зловмисника. Весь цей процес відбувається непомітно для користувача, оскільки агент вважає виконання завдання частиною ігрового процесу і не ініціює стандартних попереджень безпеки.
Дослідження LayerX підтвердили ефективність цього методу на шести популярних рішеннях: ChatGPT Atlas, Perplexity Comet, Fellou, Genspark Browser, Sigma Browser та розширенні Claude для Chrome. Результати виявилися однозначними: агенти добровільно віддавали критично важливі дані без будь-якого запиту на підтвердження.
Реакція індустрії на виявлену проблему виявилася неоднорідною і, в деяких випадках, тривожною. OpenAI оперативно усунула вразливість у ChatGPT Atlas ще восени 2025 року. Anthropic спробувала впровадити патч для розширення Claude, проте, згідно зі звітами, виправлення виявилося неефективним, і проблема залишається відкритою з квітня 2026 року. Perplexity AI фактично проігнорувала запит, закривши звернення без внесення змін у Comet. Розробники Fellou та Sigma залишили звіти без відповіді, а представники Genspark обмежилися загальними заявами про усунення проблеми без надання технічних доказів.
З технічної точки зору BioShocking оголює системну кризу довіри в архітектурі ІІ-агентів. Основна проблема полягає в тому, що зовнішня сторінка повністю контролює контекст виконання, а на рівні логіки системи відсутній жорсткий роздільник між «довіреними» командами користувача та «недовіреним» контентом із мережі.
Для запобігання подібним інцидентам необхідний перехід до моделі суворого підтвердження (Human-in-the-loop). Будь-яке звернення агента до чутливих джерел даних — менеджерів паролів, внутрішніх API або приватних репозиторіїв — має вимагати явного согласия користувача. Крім того, потрібне впровадження механізмів верифікації контексту, здатних розпізнати спроби нав'язати моделі «альтернативну реальність» і блокувати виконання команд із таких підозрілих середовищ.
Доки вендори не переглянуть базові принципи ізоляції даних, користувачам рекомендується застосовувати стратегію мінімізації ризиків: використовувати окремі профілі браузера для роботи з ІІ-агентами та завершувати сесії в конфіденційних сервісах одразу після закінчення роботи. BioShocking став наочним нагадуванням про те, що соціальна інженерія тепер працює не лише проти людей, а й проти алгоритмів, які ми звикли вважати інтелектуальними помічниками.
Парадокс абсолютної узгодженості нейромереж
