ChatGPT Atlas от OpenAI оказался уязвим перед простым indirect prompt injection
#ChatGPT #promptinjection #AI #LLM
21 октября 2025 года OpenAI представила ChatGPT Atlas — автономный Chromium-браузер с интегрированным LLM-агентом. Всего через нескольких часов после релиза багхантер @elder_plinius (Pliny the Liberator) уломал LLM-агент браузера выдать ему инструкции с запрещенкой и даже представил рабочий PoC.
Это не баг, а архитектурная особенность agentic-браузеров: кроме пользовательских запросов агент анализирует DOM, метаданные, буфер обмена и OCR-результаты содержимое веб-страниц. Если они содержат невидимые элементы CSS, HTML-комментарии или скрипты, помещающие текст в clipboard, агент способен воспринять их как команду и выполнить с правами текущего пользователя.
➡️Что сделал Pliny
Создал веб-страницу-демонстрацию со скрытым prompt-payload — текстовые узлы и DOM-элементы, визуально неотличимые от обычного контента, но семантически оформленные как инструкции для агента.
Реализовал JavaScript-логику, автоматически копирующую этот payload в буфер обмена (clipboard) при загрузке или взаимодействии со страницей без уведомления пользователя.
Открыл страницу в ChatGPT Atlas, где агент, формируя системный prompt, включил содержимое clipboard/DOM в запрос к LLM, трактуя этот текст как часть пользовательского ввода.
В payload находился jailbreak-prompt, переписывающий контекст агента и заставляющий его выполнить нежелательное действие.
➡️Статус проблемы
OpenAI официально подтвердила, что prompt-injection остается unsolved security problem и относится к классу нерешенных архитектурных рисков agentic-систем.
Компания внедрила временные меры: режим logged-out mode (LLM-агент без доступа к cookies и аккаунтам), усиленные фильтры входных данных и систему детекции аномальных действий агента.
На момент публикации подтвержденных массовых случаев эксплуатации in wild нет.
🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч
#ChatGPT #promptinjection #AI #LLM
21 октября 2025 года OpenAI представила ChatGPT Atlas — автономный Chromium-браузер с интегрированным LLM-агентом. Всего через нескольких часов после релиза багхантер @elder_plinius (Pliny the Liberator) уломал LLM-агент браузера выдать ему инструкции с запрещенкой и даже представил рабочий PoC.
Это не баг, а архитектурная особенность agentic-браузеров: кроме пользовательских запросов агент анализирует DOM, метаданные, буфер обмена и OCR-результаты содержимое веб-страниц. Если они содержат невидимые элементы CSS, HTML-комментарии или скрипты, помещающие текст в clipboard, агент способен воспринять их как команду и выполнить с правами текущего пользователя.
➡️Что сделал Pliny
Создал веб-страницу-демонстрацию со скрытым prompt-payload — текстовые узлы и DOM-элементы, визуально неотличимые от обычного контента, но семантически оформленные как инструкции для агента.
Реализовал JavaScript-логику, автоматически копирующую этот payload в буфер обмена (clipboard) при загрузке или взаимодействии со страницей без уведомления пользователя.
Открыл страницу в ChatGPT Atlas, где агент, формируя системный prompt, включил содержимое clipboard/DOM в запрос к LLM, трактуя этот текст как часть пользовательского ввода.
В payload находился jailbreak-prompt, переписывающий контекст агента и заставляющий его выполнить нежелательное действие.
➡️Статус проблемы
OpenAI официально подтвердила, что prompt-injection остается unsolved security problem и относится к классу нерешенных архитектурных рисков agentic-систем.
Компания внедрила временные меры: режим logged-out mode (LLM-агент без доступа к cookies и аккаунтам), усиленные фильтры входных данных и систему детекции аномальных действий агента.
На момент публикации подтвержденных массовых случаев эксплуатации in wild нет.
🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч