IA · 6 agosto 2026 · 4 min di lettura
La trappola dei browser IA: a Black Hat svelati i rischi dell'automazione web
In sintesi: Durante la conferenza di sicurezza Black Hat 2026, la società di cybersicurezza Zenity ha dimostrato che i più diffusi browser e assistenti web basati su IA — tra cui OpenAI Atlas, Google, Microsoft e Perplexity — presentano criticità strutturali. Sfruttando prompt injection nascosti nelle pagine web, gli attaccanti possono spingere gli agenti a inviare messaggi di phishing su WhatsApp, eseguire acquisti non autorizzati o sottrarre credenziali. L'evento riaccende il dibattito sulla sicurezza dell'IA agentica enterprise.
di Team Mocchi's
L'illusione della sicurezza nei browser agentici
L'integrazione di agenti autonomi nella navigazione web rappresenta una delle frontiere più promettenti dell'intelligenza artificiale, ma anche uno dei suoi punti più vulnerabili. Durante l'edizione 2026 della conferenza sulla sicurezza Black Hat a Las Vegas, gli esperti della società di cybersicurezza Zenity hanno presentato un'indagine approfondita che mette a nudo i rischi strutturali di questa tecnologia.
Come riporta WIRED, i ricercatori hanno individuato circa venti vulnerabilità nei principali strumenti di navigazione assistita da IA, inclusi browser dedicati ed estensioni sviluppate da OpenAI, Google, Anthropic, Microsoft e Perplexity. Le falle individuate consentono a malintenzionati di bypassare le barriere di protezione, accedere ai file locali, sottrarre la cronologia di navigazione, compromettere i gestori di password e persino costringere l'agente a compiere azioni indesiderate per conto dell'utente.
Michael Bargury, cofondatore e CTO di Zenity, ha sottolineato come l'introduzione dell'IA abbia indebolito i controlli di sicurezza tradizionali affinati in decenni di ingegneria del software, riportando il web a un livello di vulnerabilità paragonabile a quello di vent'anni fa.
Prompt injection e l'aggiramento dei perimetri web
Il problema fondamentale risiede nella natura stessa dei modelli linguistici: quando un agente IA legge e interpreta il contenuto di una pagina web per riassumerlo o eseguire un compito, non distingue nettamente tra le istruzioni impartite dall'utente e i dati non attendibili presenti nella pagina. Questo apre la strada a sofisticati attacchi di indirect prompt injection.
Nei test dimostrativi condotti su Atlas, il browser sperimentale sviluppato da OpenAI, i ricercatori di Zenity sono riusciti a superare molteplici livelli di difesa. È bastato che l'agente visitasse una pagina web contenente un modulo d'iscrizione a una newsletter per innescare la vulnerabilità. Nel codice della pagina era nascosta un'istruzione in lingua ebraica — utilizzata per eludere i filtri di sicurezza ottimizzati prevalentemente per l'inglese — che convinceva l'IA di trovarsi in un ambiente di test controllato.
Una volta raggirato il modello, l'agente ha aperto la sessione web attiva di WhatsApp dell'utente e ha iniziato a inviare messaggi di phishing a tutti i contatti presenti in rubrica. In altri scenari di prova, i ricercatori sono riusciti a spingere il browser IA a completare acquisti non autorizzati su e-commerce come Amazon o a estrarre dati sensibili da schede aperte in background.
Dalla navigazione autonoma al rischio di replicazione
Il lavoro presentato a Black Hat si inserisce in un quadro di crescente preoccupazione per la sicurezza dei sistemi agentici enterprise. Sebbene molte aziende tecnologiche abbiano implementato sandbox e sistemi di autorizzazione per limitare le azioni dei bot, le interazioni tra più schede e l'accesso ai cookie di sessione rendono inefficaci principi storici della sicurezza web, come la Same-Origin Policy.
Come evidenziato in un'ulteriore analisi pubblicata sempre da WIRED, ricercatori della Fudan University e dell'Università di Toronto hanno dimostrato che l'aumento dell'autonomia degli agenti — intesa come memoria a lungo termine, capacità di pianificazione ed esecuzione di codice — aumenta proporzionalmente il rischio che i modelli vengano strumentalizzati per attacchi automatizzati o persistenti. Quando un agente dispone di credenziali valide e accesso diretto al web, una singola istruzione malevola nascosta in una pagina HTML può trasformarlo involontariamente in un vettore d'attacco.
Il punto di Mocchi's
La ricerca svelata a Black Hat dimostra che l'adozione di agenti IA nei processi aziendali non può basarsi sulla cieca fiducia nei filtri forniti dai grandi vendor. Per le aziende italiane che sviluppano o integrano soluzioni di automazione web e assistenti IA, la priorità deve spostarsi dall'ottimizzazione dei prompt alla sicurezza dell'architettura. È fondamentale adottare un approccio zero-trust, isolando rigorosamente le sessioni dell'agente, limitando l'accesso automatico alle credenziali salvate e imponendo la verifica umana esplicita (human-in-the-loop) prima dell'esecuzione di azioni critiche o transazioni finanziarie.