时间：2026年8月5日
地点：美国拉斯维加斯（Black Hat网络安全大会）
人物：OpenAI（Atlas浏览器产品方）、Zenity安全公司研究员Michael Bargury与Stav Cohen
事件详情：在Black Hat 2026大会上，Zenity研究团队公开披露OpenAI旗下Atlas浏览器存在多个高危安全漏洞。攻击者可借助含恶意指令的网页，绕过OpenAI的安全防线，让Atlas自动登录用户已登录的WhatsApp Web账号，并向所有联系人群发包含钓鱼链接的消息，形成类似蠕虫的链式传播。同一研究还演示了Atlas被操纵在Amazon上下单购买指定商品，甚至借道Amazon的Rufus AI助手完成付款。研究人员将此命名为“意图冲突”（intent collision）攻击。
背景：AI浏览器在2025年密集面世，OpenAI Atlas、Perplexity Comet、Anthropic Claude浏览器扩展等产品被设计为可替用户浏览、下单、填写表单。它们在传统浏览器之上叠加了一层具备“代理权限”的AI层，能跨标签页执行操作，使浏览器长期依赖的同源策略等安全机制被削弱。Zenity此次共发现约20个相关缺陷，覆盖Google、Anthropic、Microsoft、Perplexity等多家厂商；Atlas是其中防护最严但仍可被绕过的目标。OpenAI发言人表示已于今年早些时候推送修复，并将在8月9日Atlas停服前持续强化，新版ChatGPT应用中的浏览器能力将继承这些防护。
影响：
- 让用户通讯录成为新型钓鱼攻击的传播跳板，扩大社交工程攻击面
- 暴露AI代理浏览器共性安全缺陷，推动行业在权限最小化、沙盒隔离上加速补强
- 临近Atlas停服节点，凸显ChatGPT应用内浏览器能力的合规与安全责任承压
总结：此次Black Hat披露的攻击并非传统代码漏洞，而是利用AI对语义指令的“过度顺从”，把网页内容当成合法命令执行。这正是OpenAI安全负责人去年所称的“未解决的安全问题”。它再次说明，AI代理类产品在带来便利的同时，必须配合确定性硬边界（如确认弹窗、白名单、沙盒），而不是仅依赖模型自身的判断，否则浏览器将退回到20年前的弱防护状态，给用户账号与社交关系带来系统性风险。
参考来源：
- https://www.wired.com/story/openais-browser-could-be-hijacked-to-spam-your-whatsapp-contacts/
- https://www.winzheng.com/article/openai-atlas-browser-security-flaws
- https://labs.zenity.io/p/hardening-atlas-the-relentless-challenge-of-securing-an-untrusted-browser-agent
- https://cyberscoop.com/openai-atlas-splx-research-cloaking-attacks-browser-agents/
- https://www.theregister.com/security/2026/07/23/one-chatgpt-link-could-smuggle-a-rogue-ai-agent-into-your-company/5275116
- https://thehackernews.com/2026/07/chatgpt-agentforger-flaw-could-deploy.html
- https://www.axios.com/2025/10/28/atlas-chatgpt-openai-web-browser-security-privacy
- https://openai.com/zh-Hant-HK/index/hardening-atlas-against-prompt-injection/