AI 浏览器遭「BioShocking」攻击：6 款主流产品安全护栏被绕过

AI 安全公司 LayerX 发布了一项名为 BioShocking 的漏洞研究，揭示了一种针对智能体（agentic）浏览器的提示注入攻击手法。攻击者通过构建一个虚假的「游戏」语境，让 AI 浏览器相信自身行为不会产生现实后果，从而绕过厂商内置的安全护栏，执行窃取凭证、读取代码、执行系统命令等高危操作。研究人员已在 5 款 AI 浏览器和 1 款插件上验证了该漏洞的有效性，并已通报所有受影响的厂商。

漏洞原理：让 AI 相信「规则不适用」

主流大语言模型在训练阶段都会加入安全护栏，明确禁止其协助编写钓鱼邮件、攻击网站、泄露凭证等行为。这些护栏默认在一个前提上成立：AI 所处的上下文是「真实的」，其行为必须遵守现实规则。BioShocking 攻击的核心思路，正是破坏这一前提。

攻击者构造一个网页小游戏（例如一道数学题），故意奖励「错误」答案，使 AI 智能体在解题过程中逐渐脱离现实逻辑。一旦 AI 接受「当前规则不适用」的设定，它便会将后续指令同样视为「游戏内操作」，不再触发安全护栏的拒绝机制。研究人员将这一手法命名为 BioShocking，灵感来自电子游戏《生化奇兵》中「Would you kindly?」（请你务必……）这一经典洗脑桥段。

验证范围：6 款主流产品全部沦陷

LayerX 的概念验证（PoC）针对以下产品全部成功：

ChatGPT Atlas（OpenAI）
Comet（Perplexity AI）
Fellou（ASI X INC）
Genspark Browser
Sigma Browser（Sigmabrowser OÜ）
Claude Chrome 插件（Anthropic）

在测试中，AI 智能体被引导进入一个以《生化奇兵》为背景的谜题页面，正确答案是「2 + 2 = 5」。当智能体接受这一反现实规则后，研究人员指示其访问 /code 路径并复制文本框内容，该路径被重定向至受害者雇主的工作 GitHub 仓库，智能体随即毫无迟疑地复制了其中的 SSH 登录凭证。整个过程中，AI 没有弹出任何安全告警，反而在任务完成后主动「庆祝」成功。研究人员表示，在真实攻击场景中，该重定向可指向用户当前已登录会话中的任意页面，包括邮箱、代码仓库、密码管理器和内部工具。

攻击流程拆解

完整的 BioShocking 攻击可概括为四个阶段：

投放诱饵：用户访问包含恶意谜题的网页，并授权 AI 浏览器进行交互。
建立虚假语境：AI 在解题过程中接受「错误即正确」的规则，逐步脱离现实逻辑。
诱导敏感操作：攻击者下达复制凭证、读取文件等指令，AI 将其视为游戏步骤。
完成数据外泄：智能体主动将获取到的敏感信息回传至攻击者控制的地址。

关键在于，AI 浏览器在「获胜」的激励下，自发完成了本应被拒绝的操作。

修复建议：多层防御

LayerX 指出，BioShocking 的根源在于 AI 智能体依赖上下文判断行为边界，而这一上下文可被任意篡改。修复需要厂商与用户共同配合。

对厂商而言，可从三方面入手：

敏感操作二次确认：在读取已认证仓库、邮箱、密码管理器中的数据前，必须弹出用户确认窗口。研究中 GitHub 凭证被直接复制而未触发任何提示，是护栏失效的典型表现。
上下文异常检测：当 AI 智能体检测到「规则不适用」「这是游戏」等明显脱离现实的表述时，应主动告警并重新评估后续指令。
会话范围限制：允许用户在智能体会话中定义可访问范围，默认采用最严格的权限策略，「赢一场游戏」不应成为访问已认证仓库的理由。

对用户而言，建议谨慎管理 AI 浏览器的可见范围：在智能体模式下，它能访问你所有已登录会话，因此应明确其授权边界，并定期撤销不必要的权限。

随着 AI 浏览器逐渐成为用户处理日常任务的新入口，这类上下文操控攻击的威胁也将持续放大。