🕷️ “SquareX เตือนภัยเบราว์เซอร์ AI — Comet ถูกหลอกให้ส่งมัลแวร์, แชร์ไฟล์ลับ และเปิดช่อง OAuth โดยไม่รู้ตัว” ในวันที่เบราว์เซอร์ AI กำลังกลายเป็นเครื่องมือหลักของผู้ใช้ทั่วโลก SquareX ได้เปิดเผยงานวิจัยด้านความปลอดภัยที่ชี้ให้เห็นช่องโหว่ร้ายแรงในเบราว์เซอร์ AI โดยเฉพาะ Comet ซึ่งเป็นเบราว์เซอร์จาก Perplexity ที่มีความสามารถในการทำงานแทนผู้ใช้แบบอัตโนมัติ SquareX พบว่า Comet สามารถถูกโจมตีผ่านหลายวิธี เช่น: 🐛 การโจมตีแบบ OAuth ที่ทำให้แฮกเกอร์เข้าถึงอีเมลและ Google Drive ของเหยื่อได้ทั้งหมด 🐛 การฝังลิงก์อันตรายในคำเชิญปฏิทินที่ส่งไปยังเพื่อนร่วมงานของเหยื่อ 🐛 การหลอกให้ดาวน์โหลดมัลแวร์โดยปลอมเป็นไฟล์ที่จำเป็นต่อ workflow 🐛 การส่งไฟล์ลับไปยังผู้โจมตีผ่านอีเมลโดยไม่ตั้งใจ ปัญหาหลักคือ AI Browser อย่าง Comet ไม่สามารถแยกแยะได้ว่าอะไรคือคำสั่งที่ปลอดภัย และอะไรคือคำสั่งที่ถูกแฮกเกอร์แทรกเข้ามาใน workflow โดยเฉพาะเมื่อเบราว์เซอร์มีสิทธิ์เท่ากับผู้ใช้ และทำงานแทนผู้ใช้โดยอัตโนมัติ SquareX ระบุว่าโซลูชันด้านความปลอดภัยแบบเดิม เช่น EDR หรือ SASE/SSE ไม่สามารถตรวจจับพฤติกรรมของ AI Browser ได้อย่างแม่นยำ เพราะไม่สามารถแยกแยะได้ว่าการกระทำมาจากผู้ใช้จริงหรือจาก AI agent Stephen Bennett, CISO ของ Domino’s Pizza Enterprises กล่าวเสริมว่า “เบราว์เซอร์เคยเป็นหน้าต่างของผู้ใช้ แต่ AI Browser กำลังเปลี่ยนให้ผู้ใช้กลายเป็นผู้โดยสาร” ซึ่งสะท้อนถึงความเสี่ยงที่ผู้ใช้อาจไม่สามารถควบคุมการทำงานของเบราว์เซอร์ได้อีกต่อไป SquareX เสนอให้มีการพัฒนาโซลูชันแบบ browser-native ที่สามารถแยกแยะตัวตนของ AI agent กับผู้ใช้จริง และกำหนดขอบเขตการเข้าถึงข้อมูลและการกระทำได้อย่างชัดเจน ✅ ข้อมูลสำคัญจากข่าว ➡️ SquareX เปิดเผยช่องโหว่ในเบราว์เซอร์ AI โดยเฉพาะ Comet จาก Perplexity ➡️ Comet ถูกโจมตีผ่าน OAuth ทำให้แฮกเกอร์เข้าถึงอีเมลและ Google Drive ➡️ ถูกหลอกให้ฝังลิงก์อันตรายในคำเชิญปฏิทิน ➡️ ถูกหลอกให้ดาวน์โหลดมัลแวร์โดยปลอมเป็นไฟล์ workflow ➡️ ส่งไฟล์ลับไปยังผู้โจมตีโดยไม่ตั้งใจ ➡️ AI Browser ทำงานแทนผู้ใช้โดยมีสิทธิ์เท่ากัน ทำให้ถูกหลอกได้ง่าย ➡️ โซลูชัน EDR/SASE ไม่สามารถแยกแยะพฤติกรรมของ AI agent ได้ ➡️ SquareX เสนอให้มีระบบ browser-native ที่แยกแยะตัวตนและควบคุมการเข้าถึง ✅ ข้อมูลเสริมจากภายนอก ➡️ Comet เป็นเบราว์เซอร์ AI ที่สามารถทำงานใน inbox, ปฏิทิน และระบบ cloud ➡️ OAuth เป็นโปรโตคอลที่ใช้ในการให้สิทธิ์เข้าถึงข้อมูล โดยไม่ต้องใช้รหัสผ่าน ➡️ Prompt injection คือการแทรกคำสั่งอันตรายเข้าไปใน workflow ของ AI ➡️ AI Browser กำลังถูกนำมาใช้ในองค์กรเพื่อเพิ่ม productivity ➡️ SquareX มีระบบ Browser Detection and Response (BDR) ที่ช่วยป้องกันภัยจากเบราว์เซอร์ https://securityonline.info/squarex-shows-ai-browsers-fall-prey-to-oauth-attacks-malware-downloads-and-malicious-link-distribution/