Apa yang terjadi
Peneliti di University of Washington menerbitkan studi pada 2026-06-30 memeriksa tujuh popular agentic AI browsers (termasuk ChatGPT Atlas, Claude, Comet, dan others). Mereka menemukan empat dari tujuh memungkinkan malicious websites untuk bypass same-origin policy — foundational web security protocol yang mencegah websites dari mengakses data satu sama lain. Peneliti mendemonstrasikan successful PoC attack di mana malicious website yang embedded dalam iframe (misal, ad pada email page) menggunakan prompt injection untuk membuat agent menyalin sensitive data (termasuk GitHub SSH credentials) dari another open tab. BioShocking technique (previously covered) dikonfirmasi sebagai salah satu working attack vector pada enam dari tujuh agents.
Mengapa penting
Agentic browsers menggabungkan autonomous multi-tab browsing dengan access ke authenticated sessions (email, GitHub, banking, cloud consoles). Same-origin policy bypass via prompt injection memungkinkan malicious website yang dikunjungi agent untuk silently steal credentials atau data dari any other tab yang agent buka — tanpa malware, tanpa traditional exploit, hanya injected natural-language instructions. Ini merepresentasikan fundamental security boundary failure dalam new dan rapidly growing class dari AI deployment.
Vektor serangan
Attacker menjalankan malicious web page yang berisi embedded prompt injection content (misal, dalam ad iframe atau embedded content). Ketika agentic browser mengunjungi page sambil juga memiliki authenticated sessions yang terbuka dalam other tabs, injected prompt menginstruksikan agent untuk membaca dan exfiltrate data dari sessions tersebut, membypass same-origin policy via agent's cross-tab action capabilities.
Sistem yang terdampak
Agentic AI browsers termasuk ChatGPT Atlas, Claude browser agent, Comet, dan 4 other tested agents (7 tested total, 4 confirmed vulnerable terhadap SOP bypass) — versi current sesuai 2026-06-30
Mitigasi
Batasi agent access ke sensitive authenticated browser sessions. Jangan gunakan agentic browsers dalam session context yang sama dengan privileged credentials sampai vendors patch SOP isolation. Monitor agent memory untuk poisoned inputs. Periksa vendor security advisories untuk setiap affected product.