Képzeljen el egy böngészőt, amelynek annyit mond: „foglald le a repülőjegyet, aztán írd meg a főnökömnek, hogy csúszom” – és megcsinálja. Belép a fiókjaiba, kitölti az űrlapokat, kattint, fizet. Ez 2026-ban már nem sci-fi: az OpenAI Atlas, a Perplexity Comet, a Dia és az Opera hasonló megoldásai pontosan ezt ígérik. Az önállóan cselekvő AI ágensek korszaka megérkezett a böngészőnkbe.
Csakhogy egy AI böngésző nem tud különbséget tenni aközött, amit Ön kér tőle, és aközött, amit egy weboldal súg neki. És pontosan itt nyílik ki az a biztonsági rés, amelyet a szakma az elmúlt egy évben módszeresen feltérképezett.
Mi az az AI böngésző, és miért más, mint a Chrome?
A hagyományos böngésző megjeleníti az oldalt, Ön pedig dönt. Az AI böngésző ezzel szemben elolvassa az oldalt, értelmezi, és a nevében cselekszik: navigál, gépel, kattint, vásárol. Ehhez viszont hozzá kell férnie mindenhez, amihez Ön is: a bejelentkezett fiókokhoz, a levelezéshez, a naptárhoz, a mentett kártyaadatokhoz.
Ez a kényelem ára. A gép nem „gyanakszik”, nem lassít le, ha valami furcsa – egyszerűen végrehajtja a legutóbb kapott utasítást.
A prompt injection: amikor a weboldal ad parancsot
A támadás neve indirekt prompt injection, a lényege pedig hihetetlenül egyszerű. A támadó elrejt egy utasítást egy weboldalon – egy fórumhozzászólásban, egy kép alt szövegében, fehér betűkkel fehér háttéren, egy PDF lábjegyzetében. Ön megkéri az asszisztenst, hogy foglalja össze az oldalt. Az asszisztens elolvassa a szöveget – és a benne rejtőző parancsot is végrehajtja.
A Brave biztonsági kutatói egy konkrét, működő esetet mutattak be a Perplexity Comet böngészőjével: egy Reddit-posztba rejtett utasítás arra vette rá az asszisztenst, hogy lépjen be a felhasználó fiókjába, kérjen egy egyszer használatos jelszót, majd írja ki a felhasználó e-mail-címét egy nyilvános kommentbe. A felhasználó ebből semmit nem látott.
Az Opera saját jelentése szerint a jelenlegi védelmi rendszerek a rosszindulatú utasítások mintegy 90 százalékát nem képesek kiszűrni. Ez nem egy gyártó hibája – az egész megközelítés strukturális gyengesége.
Egy 1995 óta érvényes szabály, amit az AI böngésző megkerül
A Washingtoni Egyetem 2026 júliusában publikált tanulmánya rámutatott a probléma gyökerére. A weben 1995 óta érvényes az azonos eredet elve (same-origin policy): egy weboldal nem olvashatja el egy másik weboldal adatait. Ez az a fal, ami miatt egy random hírportál nem látja bele a netbankját.
Az AI böngésző működéséhez viszont az kell, hogy az asszisztens egyszerre lássa az összes fület és tartalmat – különben nem tudná összekapcsolni a feladatokat. Ezzel a fal gyakorlatilag lebomlik. A kutatók szerint így e-mailek, jelszavak, naptáradatok és egyéb személyes információk szivároghatnak ki egy rosszindulatú oldalhoz.
A tanulmány külön kiemel egy alattomos változatot: a beültetett memóriautasítást. A támadó olyan „emléket” írat be az asszisztensnek, amely csak napokkal később, egy teljesen más helyzetben aktiválódik. Ilyenkor már semmi nem köti össze a fertőzést és a következményt.
5 kockázat, amivel érdemes tisztában lenni
- Adatszivárgás fülek között. Ami az egyik lapon van, azt az asszisztens átviheti egy másikra – akár egy támadó oldalára.
- Nevében végrehajtott műveletek. Az asszisztens az Ön bejelentkezett munkamenetében dolgozik: amit tesz, az a rendszerek szemében Ön tette.
- Láthatatlan utasítások. A rejtett parancsot Ön soha nem látja, mert nem a képernyőnek szól, hanem a modellnek.
- Késleltetett aktiválás. A beültetett memória napokkal később is hathat.
- Naplózás és felelősség. Ha egy ilyen asszisztens céges rendszerben okoz kárt, sokszor utólag sem rekonstruálható pontosan, mi történt.
Akkor most ne használjuk?
Nem erről van szó. Ezek az eszközök valódi időt spórolnak – csak nem mindegy, mire engedjük rá őket. Néhány józan szabály, amivel a kockázat nagy része eltűnik:
- Külön profil, külön böngésző. Használjon az AI böngészőben más profilt, mint amelyikkel a netbankba, az e-mailbe vagy a céges rendszerekbe lép be.
- Ne legyen bejelentkezve érzékeny fiókokba, miközben az asszisztens dolgozik.
- Ne adjon neki „szabad kezet”. Kapcsolja ki az automatikus végrehajtást, ahol lehet, és kérjen megerősítést minden olyan lépés előtt, ami elküld, fizet vagy töröl.
- Ismeretlen oldalakat ne összegeztessen bejelentkezett munkamenetben.
- Frissítsen. A gyártók havonta javítanak – az elavult verzió itt különösen kockázatos.
Vállalkozásoknak: ez már házirend kérdése
Ha a kollégák ilyen böngészőt használnak céges gépen, az ugyanolyan kockázat, mint az engedély nélkül bevezetett MI-eszközök általában – erről korábban a Shadow AI jelenség kapcsán részletesen írtunk.
Amit érdemes leírni egy fél oldalban: mely rendszerekhez nyúlhat hozzá egyáltalán AI-asszisztens, milyen műveletekhez kell emberi jóváhagyás, és kihez kell szólni, ha valami furcsát csinál. Ez nem bürokrácia – ez az a fék, ami egy rejtett utasítás és egy kiküldött utalás közé kerül.
Három gyakori kérdés
Elég, ha megbízom a gyártóban?
Sajnos nem. A támadás nem a gyártó szerverein történik, hanem azon a weboldalon, amit éppen megnyitott. A gyártó szűrőket épít, de a kutatások szerint ezek ma még átjárhatók.
Honnan tudom, ha megtörtént a baj?
Sokszor sehonnan – ez a legkellemetlenebb benne. Árulkodó jel lehet egy általunk nem küldött e-mail, egy ismeretlen bejelentkezés a fiókértesítésekben, vagy egy komment, amit nem mi írtunk. Érdemes időnként átnézni a fiókok biztonsági naplóját.
Mi a legfontosabb egyetlen lépés?
A szétválasztás. Ha az AI böngésző soha nem lát bejelentkezett netbankot, céges levelezést vagy jelszókezelőt, akkor a legrosszabb forgatókönyv is csak kellemetlenség marad, nem kár. A kétlépcsős azonosítás minden érintett fiókon szintén alapfeltétel.
Hova tart ez?
A gyártók dolgoznak a megoldáson: elkülönített végrehajtási környezetek, megerősítést kérő lépések, az utasítás és az adat szigorúbb szétválasztása. A probléma azonban a nyelvi modellek természetéből fakad – az utasítás és a tartalom ugyanabban a szövegfolyamban érkezik –, így teljes megoldás rövid távon nem várható.
Addig a legjobb stratégia a felnőtt hozzáállás: használjuk, ami hasznos, de ne bízzunk rá olyat, aminek az elvesztése fájna. Az AI böngésző ma nagyjából olyan, mint egy nagyon gyors, nagyon szorgalmas gyakornok, aki minden utasítást szó szerint vesz – bárkitől.
A Pixela Internet Kft. 2008 óta foglalkozik webfejlesztéssel, biztonságos egyedi rendszerek készítésével és keresőoptimalizálással. Ha vállalkozása MI-használatát szeretné biztonságos keretek közé tenni, keressen minket bizalommal.