Des chaînes ressemblant à des URL collées dans l’omnibox de ChatGPT Atlas sont exécutées comme des commandes de confiance par l’agent
NeuralTrust a montré qu’une chaîne conçue pour ressembler à une URL mais volontairement mal formée échoue à la validation d’URL dans l’omnibox du navigateur ChatGPT Atlas d’OpenAI et est traitée comme un prompt de l’utilisateur, avec moins de contrôles de sécurité que le contenu des pages web. Dans sa démonstration, des instructions intégrées à la chaîne ont poussé l’agent à ouvrir un site choisi par l’attaquant ; NeuralTrust affirme que la même méthode pourrait envoyer des utilisateurs vers une page d’hameçonnage imitant un site légitime ou faire supprimer par l’agent des fichiers de leur Google Drive grâce à leur session ouverte. NeuralTrust a validé et publié la technique le même jour.
L’attaque exige que l’utilisateur colle la chaîne dans l’omnibox ou clique dessus, par exemple via un bouton « Copier le lien » piégé. NeuralTrust a recommandé une analyse stricte des URL, un choix explicite entre navigation et prompt, et de traiter par défaut les prompts de l’omnibox comme non fiables.
Ce qui l’aurait évité
Ne jamais basculer silencieusement de la navigation par URL au mode prompt ; faire choisir l’utilisateur et traiter une telle saisie comme non fiable.
Garde-fous
- G1 Moindre privilège Non évalué L’agent n’avait-il que les accès nécessaires à sa tâche ?
- G2 Validation humaine Non évalué Une personne a-t-elle approuvé l’étape lourde de conséquences ou irréversible ?
- G3 Isolement Non évalué L’agent était-il séparé des systèmes de production et du monde extérieur ?
- G4 Intégrité des instructions Défaillant L’agent a traité des instructions intégrées à une URL mal formée comme une intention de confiance de l’utilisateur.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Non évalué Une personne responsable pouvait-elle voir ce qu’il faisait et l’arrêter à temps ?
- G8 Réversibilité Non évalué Les dégâts pouvaient-ils être réparés ?
Sources
-
“We’ve identified a prompt injection technique that disguises malicious instructions to look like a URL, but that Atlas treats as high-trust “user intent” text, enabling harmful actions.”
-
“Attackers can exploit the OpenAI Atlas browser by disguising malicious instructions as URLs in the omnibox, which Atlas interprets as trusted commands, enabling harmful actions.”
L’indice de confiance de 82 % provient de ces seules sources. Notre méthode
Historique
- 15 oct. 2026Ajouté au registre avec 2 sources