Angrepet overbeviser KI-nettleseren om at den spiller et spill der gale svar vinner, slik at den bytter sikkerhetslogikk mot spill-logikk. Sikkerhetsselskapet LayerX bygde en nettside utformet som et puslespill der feil svar ble belønnet, som å insistere på at 2 + 2 = 5. Da agenten først hadde godtatt at «feil» var det vinnende trekket, fulgte den spillets regler helt til siste steg, der oppgaven var å hente brukerens SSH-innlogging fra et GitHub-repo og sende den videre. Ingen av de seks testede agentene stoppet.
Målene inkluderte OpenAIs ChatGPT Atlas, Perplexitys Comet og Anthropics Claude-nettleserutvidelse. Angrepet, som LayerX kaller BioShocking, fungerer fordi disse agentene leser nettsiden og dine egne instruksjoner som én sammenhengende tekststrøm. En ondsinnet side kan da smugle inn kommandoer forkledd som spill-regler, og agenten klarer ikke pålitelig å skille de to. Dette er klassisk indirekte prompt-injeksjon.
BioShocking er ikke LayerX' første demonstrasjon av mønsteret. Selskapet har tidligere vist at ett enkelt klikk kunne kapre Perplexitys Comet og stille stjele data. Navnet spiller på spillet BioShock, der en hjernevasket figur adlyder frasen «Would you kindly?». Agenten er ikke annerledes: den stoler på konteksten den får, og endrer du konteksten, endrer du hva den gjør.
«Å vinne et spill er ingen grunn til å åpne et privat repository.» LayerX
Håndteringen fra leverandørene var ujevn. LayerX rapporterte funnet mellom oktober 2025 og januar 2026. OpenAI fikset det i ChatGPT Atlas. Perplexity lukket rapporten uten å gjøre noe. Anthropic forsøkte å lappe Claude-utvidelsen, men ifølge LayerX holdt ikke fiksen. Fellou, Genspark og Sigma svarte ikke.
En KI-nettleser i agent-modus er i praksis en ekstra konto med tilgang inn i alt du er innlogget på: åpne faner, interne verktøy, jobb-repoer. LayerX vil at nettleserne skal spørre før de leser fra innloggede kontoer, med en enkel melding som bryter kjeden:
«Jeg er i ferd med å kopiere data fra GitHub-repoet ditt. Fortsette?» LayerX, foreslått varsel
Hva bør du gjøre?
- Behandle agent-modus som en egen privilegert konto: gi den smalest mulig tilgang for oppgaven, ikke et stående pass til alt du kan nå.
- Kutt tilgangen når oppgaven er ferdig, og hold sensitive faner (bank, GitHub, e-post) utenfor økter der agenten er aktiv.
- Ikke stol på at leverandøren har fikset dette. Flere av nettleserne var fortsatt sårbare da LayerX publiserte.