Investigadores han identificado una posible vulnerabilidad de seguridad en Comet, el nuevo navegador con inteligencia artificial de Perplexity, que podría permitir a atacantes instruir maliciosamente al agente del navegador mediante la inyección indirecta de mensajes y obtener acceso a datos confidenciales del usuario, como correos electrónicos, contraseñas bancarias y otra información personal.
La vulnerabilidad se debe a la forma en que Comet gestiona el contenido de las páginas web al responder a mensajes del usuario como «Resumir esta página web», según informaron investigadores de seguridad de Brave, empresa de motores de búsqueda y navegadores centrada en la privacidad, en una entrada de blog el 20 de agosto.
Afirmaron que Comet no distingue entre las instrucciones del usuario y el contenido no confiable de las páginas web. Esto permite a los atacantes incrustar sigilosamente mensajes del usuario en el contenido de las páginas web que el agente del navegador Perplexity procesa y ejecuta como comandos del usuario. «Por ejemplo, un atacante podría acceder a los correos electrónicos de un usuario desde un texto preparado en una página de otra pestaña», explicó Brave en su entrada de blog.
Los hallazgos llegan en un momento en que los navegadores centrados en IA, como Comet, están ganando terreno debido a un cambio fundamental en el comportamiento del usuario al buscar información en línea. También se produce en medio del auge de agentes de IA capaces de realizar de forma autónoma diversas tareas, como navegar por la web, reservar viajes o comprar en nombre del usuario.
Se dice que Comet es el primer navegador web de su tipo, ya que coloca a un agente de IA en el centro de la experiencia de búsqueda del usuario. Sin embargo, estos navegadores han suscitado preocupaciones sobre la seguridad y la privacidad, ya que requieren un acceso profundo a datos confidenciales de las sesiones iniciadas. En el caso de Comet, el agente de IA solo puede extraer información y contexto directamente de las plataformas en las que el usuario ya ha iniciado sesión.
Las vulnerabilidades en los navegadores de IA también difieren de los exploits web tradicionales, ya que podrían permitir que el agente de IA sea fácilmente engañado para extraer datos confidenciales de diferentes dominios. Según Brave, Perplexity ha reconocido la falla de seguridad en Comet e implementado una solución. No obstante, los investigadores afirmaron que el problema persiste tras realizar más pruebas en el navegador Comet.
Pruebas de Comet por parte de Brave.
Si bien Brave no citó casos reales de explotación de la vulnerabilidad, sugirió que un atacante podría ocultar instrucciones maliciosas para el agente de IA entre el contenido web. Estas instrucciones aparecerían como texto sobre fondo blanco, comentarios HTML u otros elementos invisibles. También podrían estar incrustadas en comentarios de Reddit o publicaciones de Facebook.
Cuando un usuario envía una solicitud como «Resumir esta página», el asistente de navegación de Comet rastrea el contenido de la página web y lo procesa para extraer los puntos clave. Sin embargo, Brave afirmó que Comet no distingue entre el contenido que debe resumir y las instrucciones que no debe seguir. Esto podría permitir a los atacantes ocultar comandos en el contenido web, engañando al asistente de IA para que visite el sitio web bancario del usuario y extraiga las contraseñas guardadas.
De forma similar, la cuenta de Perplexity de un usuario también podría ser interceptada mediante la exfiltración de su dirección de correo electrónico y su OTP (en caso de autenticación de dos factores). El paso final podría consistir en indicarle al asistente de IA que publique estos datos como respuesta a una publicación de Reddit.
Para abordar la vulnerabilidad, Brave sugirió que Perplexity realizara cambios en el navegador Comet para que el agente de IA pueda «separar claramente las instrucciones del usuario del contenido del sitio web al enviarlas como contexto al modelo».
«En función de la tarea y el contexto, el modelo genera acciones para que el navegador las realice; se debe verificar que estas acciones coincidan con las solicitudes del usuario», declaró la compañía. «Independientemente del plan y las tareas previas del agente, el modelo debe requerir la interacción explícita del usuario para las tareas que afectan a la seguridad y la privacidad».
