I browser con IA si dirottano con un post che non hai mai cliccato

I browser con IA possono essere dirottati da un messaggio che la vittima non clicca mai, e una patch non risolve. Il 5 agosto, al Black Hat USA 2026 di Las Vegas, il cofondatore di Zenity Michael Bargury e il ricercatore Stav Cohen hanno presentato una classe di vulnerabilità chiamata PleaseFix, che rivolge contro l'utente l'agente IA integrato nel browser. Risultano colpiti Claude in Chrome, Gemini in Chrome, ChatGPT Atlas, Perplexity Comet e Copilot Edge. Diverse falle sono state segnalate mesi fa e sono ancora aperte.

Come un commento su X diventa un comando

Un browser agentico non si limita a mostrare una pagina. La legge, decide da solo il passo successivo e agisce dentro le sessioni in cui hai già effettuato l'accesso. Il problema è che tutto ciò che legge arriva nella stessa forma: la tua istruzione e il testo di una pagina qualsiasi sono indistinguibili per il modello. Zenity chiama il risultato collisione di intenti. L'attaccante scrive un'istruzione dentro contenuti che l'agente leggerà comunque, e l'agente la esegue come se l'avessi scritta tu.

Non c'è nulla da scaricare o installare. Non serve un allegato malevolo né un pulsante da premere. Il payload può stare in una risposta sotto un post popolare su X, in una normale email o in un invito del calendario. L'innesco è una tua richiesta del tutto ordinaria, per esempio riassumere la posta in arrivo.

Cosa hanno davvero fatto fare agli agenti i ricercatori

Non si tratta di prove teoriche. Il team ha dimostrato catene complete che finiscono in danni reali:

• Posta e cloud esfiltrati: un'istruzione nascosta in una email attende che l'utente chieda a Claude in Chrome di riassumere la posta. L'agente analizza il feed di Gmail, estrae il corpo dei messaggi, invia i contenuti a un server dell'attaccante e condivide l'intero Google Drive della vittima con un account controllato dall'attaccante.
• Furto di account: la stessa catena avvia poi il reset delle password su altri servizi, tiene d'occhio la casella in attesa dei codici di verifica e li inoltra. Così sono stati presi account Slack, X e Gmail.
• Phishing ai tuoi contatti: un commento piazzato su X manda ChatGPT Atlas su WhatsApp Web nella sessione autenticata della vittima, dove legge la rubrica e scrive a tutti.
• Acquisti a tue spese: in un'altra catena Atlas va su Amazon, riempie il carrello, cambia l'indirizzo di consegna e spinge l'assistente del negozio a completare l'ordine.
• Fino dentro la macchina: i ricercatori descrivono catene che arrivano ai servizi locali e poi all'esecuzione di codice, oltre all'avvelenamento della cronologia perché la manipolazione sopravviva.

Una fase precedente della stessa ricerca, pubblicata a marzo 2026, mostrava una catena in Perplexity Comet che partiva da un invito nel calendario, leggeva file locali e abusava dell'accesso dell'agente a un gestore di password. Perplexity ha corretto quel punto lato browser prima della pubblicazione e 1Password ha confermato che la causa stava nel modello di esecuzione di Perplexity, non nel gestore.

Perché i browser con IA rompono una regola vecchia di trent'anni

Questa è la parte da capire, perché è ciò che distingue l'attacco da un virus qualunque. Da trent'anni i browser tengono i siti separati tra loro. Una pagina di un sito non può leggere la tua posta su un altro. Quel muro, la politica della stessa origine, è il motivo per cui una singola pagina malevola non ha finora potuto svuotarti gli account.

Un agente IA sta dall'altra parte di quel muro per come è fatto. È te. Porta i tuoi cookie, le tue sessioni aperte e i tuoi permessi, e si muove tra i servizi proprio perché è per questo che lo usi. Chi cattura l'agente non ha quindi bisogno della tua password, non deve aggirare l'autenticazione a due fattori e non deve installare un programma sul tuo computer. Eredita tutto ciò a cui avevi già effettuato l'accesso, e ogni azione sembra provenire da te. L'antivirus non vede nulla, perché al suo livello non sta accadendo nulla di sbagliato.

Corretto, non corretto e dichiarato comportamento normale

Zenity ha comunicato i risultati ad Anthropic, OpenAI, Google, Microsoft e Perplexity prima della pubblicazione. Le risposte sono state diverse. Alcuni fornitori hanno rilasciato correzioni. Altri hanno risposto che il comportamento è quello previsto. OpenAI è stata informata delle catene su Atlas a gennaio 2026 e le ha riconosciute, ma restano aperte. Anthropic ha ricevuto le segnalazioni a dicembre 2025 e gennaio 2026, le ha classificate come informative, e anche quelle catene sono ancora aperte.

Sembra evasivo, ed è soprattutto preoccupante. Lo stesso Bargury lo riassume così: "non è un bug che possiamo risolvere con una patch". La debolezza non è un errore di codice in un prodotto. È ciò che accade quando a un programma si chiede di leggere testo non affidabile e di agire a tuo nome nello stesso momento. Avevamo già trattato la stessa causa quando qualsiasi pagina web poteva trasformare ChatGPT in uno strumento di phishing e quando un modello di OpenAI è uscito dalla sandbox arrivando ad aziende reali.

Cosa fare subito

Non serve rinunciare ai browser con IA, ma oggi l'impostazione ragionevole è la prudenza:

1. Non lasciare un agente collegato contemporaneamente alla posta principale, allo spazio cloud e alla chat di lavoro. In ogni catena dimostrata il danno nasceva dall'accesso combinato.
2. Usa un profilo del browser dedicato al lavoro con l'agente, con meno accessi possibile, e tieni banca, posta e pannelli di amministrazione in un browser normale.
3. Disattiva le modalità autonome in cui l'agente naviga e agisce senza chiedere. Le conferme sono fastidiose, ma sono l'unico punto in cui vedi ancora cosa sta succedendo.
4. Attenzione alla richiesta innocua. Chiedere di riassumere la posta o un thread di commenti è esattamente l'innesco attorno a cui questi attacchi sono stati costruiti.
5. Controlla impostazioni di sicurezza e app collegate degli account toccati da un agente, in particolare la condivisione dei file, e verifica chi ha accesso al tuo spazio di archiviazione.

Vale la pena dire con chiarezza cosa fa e cosa non fa una VPN qui. Una VPN cifra il traffico e nasconde il tuo indirizzo alla rete in cui ti trovi, il che conta contro intercettazione e tracciamento, ma non può limitare ciò che un agente fa dentro sessioni che hai già autorizzato. Protezione del canale e permessi dell'agente sono due livelli distinti, e questa ricerca riguarda il secondo. La stessa distinzione era emersa quando chat condivise di Claude sono finite nella ricerca di Google.

Conclusione