Pesquisadores de segurança da Cato CTRL descobriram o HashJack. Esta indireta inovadora ataque de injeção imediata oculta comandos prejudiciais na parte fragmentada de URLs após o símbolo “#”.
Essa técnica transforma sites confiáveis em armas contra assistentes de navegador de IA, como o Comet da Perplexity, o Copilot da Microsoft no Edge e o Gemini do Google no Chrome.
Como o ataque se desenrola
HashJack explora um padrão web central: fragmentos de URL são processados inteiramente no navegador e nunca alcançam servidores, evitando IDS/IPS, regras CSP e logs de rede.
Quando um navegador de IA carrega a página e os usuários interagem com o assistente incorporado, por exemplo, perguntando sobre os serviços, o URL completo, incluindo o fragmento oculto, é adicionado à janela de contexto do LLM.
Isso aciona instruções injetadas, alterando as respostas perfeitamente, como se fossem do próprio site.
A cadeia envolve cinco etapas: elaboração do URL contaminado, navegação do usuário até o site legítimo, ativação do assistente de IA com contexto da página, injeção de fragmentos no prompt e execução maliciosa, como inserção de link ou extração de dados.
Em navegadores agentes como o Comet (versão 138.0.7204.158), a situação aumenta: a IA pode autonomamente buscar endpoints do invasor com detalhes raspados, como números de contas ou e-mails.
Os não-agentes como Copilot (Edge 139.0.3405.102) e Gemini (Chrome 139.0.7258.128) ainda exibem links de phishing ou informações falsas. No entanto, o Edge bloqueia cliques e o Chrome frequentemente redireciona para os resultados da pesquisa.
A injeção indireta de prompt difere dos ataques diretos por incorporar comandos em dados externos que o modelo ingere, o que representa um risco crescente de LLM porque os modelos não possuem isolamento para entradas não confiáveis.
Cato testou em sites de demonstração, confirmando que os fragmentos contornam as defesas porque os pacotes carregam apenas o URL base.
Cato detalhou seis cenários. O phishing de retorno de chamada injeta números de suporte falsos (por exemplo, links do WhatsApp) por meio de consultas como “novos serviços?” Exfiltração de dados in Comet envia dados de perfil aos invasores durante verificações de empréstimos.
A desinformação fabrica aumentos de ações; malware orienta aberturas de portas ou adições de chaves SSH; páginas médicas empurram dosagens erradas; roubo de credenciais solicita logins falsos.
As divulgações começaram em julho de 2025: Perplexidade corrigida em 18 de novembro após a triagem do Bugcrowd; A Microsoft aplicou patches em 27 de outubro com defesa profunda; O Google considerou isso “comportamento intencional” (gravidade S4), não resolvido em 25 de novembro.
Plataforma SASE da Cato contadores via CASB para restrições de IA, IPS para phishing e NGAM para malware, apesar da natureza do lado do cliente.
Essa falha ressalta a dependência dos navegadores de IA em URLs completos, exigindo higienização de fragmentos.
À medida que cresce a adoção do Edge, com 274 milhões de usuários, o Comet está de olho em milhões – guardas imediatos tornam-se essenciais.
Siga-nos emGoogle Notícias,LinkedIneX para obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.