Mail laat AI-browser Perplexity inloggen op phishingsite

AI-start-up Perplexity AI heeft deze week een ongewoon bod van $34,5 miljard uitgebracht op Google’s webbrowser Chrome. Het bedrag overstijgt ruimschoots de huidige waarde van het bedrijf zelf, dat pas enkele jaren geleden werd opgericht.

Onderzoekers van het securitybedrijf Guardio hebben laten zien hoe de AI-browser Comet van Perplexity via een simpele phishingmail kan worden misleid. Waar de makers van de Brave-browser eerder al demonstreerden dat malafide prompts op websites gebruikt kunnen worden om gevoelige informatie van gebruikers te stelen, toont Guardio nu aan dat ook geautomatiseerde e-mailtaken van Comet misbruikt kunnen worden.

De AI-browser is in staat om taken zoals het beheren van een mailbox of het uitvoeren van ‘to-do items’ zelfstandig af te handelen. Guardio stelde de browser zo in dat deze inkomende e-mails op taken controleerde en die vervolgens uitvoerde. Via een phishingmail die zogenaamd van de Amerikaanse bank Wells Fargo afkomstig was, werd de gebruiker verleid op een link te klikken. Deze link leidde naar een echte phishingsite.

Zodra Comet de link verwerkte, opende de browser deze zonder enige controle en vulde automatisch de inloggegevens van de gebruiker in. Daarmee nam de AI-browser het volledige phishingproces van de aanvaller over. Zoals de onderzoekers stellen:

By handling the entire interaction from email to website, Comet is essentially standing in for the phishing page. The human never saw the suspicious sender address, never hovered over the link, and never had a chance to doubt the domain.

Ook ontwikkelaars van de Brave-browser wezen eerder al op risico’s. Zij demonstreerden een aanval waarbij malafide prompts op Reddit werden geplaatst. Wanneer Comet werd gevraagd om de pagina samen te vatten, werden deze prompts uitgevoerd en kon uiteindelijk zelfs een eenmalig wachtwoord (OTP) worden buitgemaakt. Volgens de onderzoekers toont dit aan dat traditionele aannames over websecurity niet langer volstaan bij zogenoemde agentic AI. Hoewel Perplexity een oplossing doorvoerde, melden de onderzoekers dat de aanval nog niet volledig is verholpen.