El panorama general

LayerX probó el ataque contra seis productos de navegadores con modo agente:

  • ChatGPT Atlas (OpenAI)
  • Comet (Perplexity AI)
  • Fellou
  • Genspark Browser
  • Sigma Browser
  • Plugin Chrome de Claude (Anthropic)

Todos ellos entregaron credenciales o datos sensibles sin detectar la anomalía.

Cómo funciona

El ataque comienza con una página web que simula un juego temático de BioShock. La dinámica recompensa respuestas incorrectas – por ejemplo, decir que 2+2=5 es correcto. Una vez que el agente acepta esas reglas, abandona la lógica de seguridad y sigue las del juego.

El paso final le pide al agente visitar un repositorio GitHub y copiar un "código oculto". Ese código son en realidad credenciales del usuario, como contraseñas o tokens de sesión. Los seis agentes copiaron los datos y los enviaron al atacante como si hubieran completado el desafío.

“Una vez que los agentes entendieron las reglas y aprendieron que las acciones 'incorrectas' eran aceptables, ya no estaban atados a la realidad”, explica LayerX.

La respuesta de los proveedores

LayerX informó del hallazgo a los vendedores en octubre de 2025. El resultado:

  • OpenAI fue el único que implementó una corrección efectiva en ChatGPT Atlas.
  • Anthropic intentó un parche para su plugin de Chrome, pero LayerX afirma que no detiene el ataque.
  • Perplexity AI cerró el reporte sin solucionar el problema.
  • Tres proveedores nunca respondieron.

Lo que cambia

El ataque no requirió técnicas sofisticadas. Cualquier página maliciosa puede engañar al navegador si logra redefinir el contexto. El punto crítico es que los agentes tratan las instrucciones del sitio web y las del usuario como un mismo flujo de texto, sin distinguir entre órdenes reales y ficción.

LayerX usó un archivo inofensivo en su prueba, pero el mismo método podría apuntar a pestañas abiertas, cuentas activas o herramientas internas a las que el agente tenga acceso en esa sesión.

Lo que viene después

La investigación subraya un problema de diseño fundamental: los agentes actuales no evalúan si una acción es segura en el mundo real, solo si cumple con las reglas que perciben. Mientras los vendedores no corrijan esta vulnerabilidad de raíz, cualquier usuario que permita a un navegador actuar por él queda expuesto a ataques simples como BioShocking.