AI 瀏覽器驚現 BioShocking 漏洞：虛構遊戲場景可誘騙 AI 竊取用戶憑證

虛擬遊戲包裝惡意指令：BioShocking 攻擊原理

網絡安全研究團隊 LayerX 近期公布了一項名為「BioShocking」的新型提示詞注入（Prompt Injection）攻擊技術。這項攻擊的靈感源自著名電子遊戲《生化奇兵》（BioShock），在該遊戲中，主角因受心理暗示而執行各種指令。研究人員發現，類似的心理操縱邏輯同樣能應用於具備「代理模式」（Agentic mode）的 AI 瀏覽器。

攻擊者會透過惡意網頁呈現一個看似無害的「解謎遊戲」，誘騙 AI 瀏覽器進入一個虛構的邏輯環境。例如，網頁會要求 AI 接受「1+1=3」這類錯誤邏輯作為遊戲規則。一旦 AI 接受了這套虛假現實，其內置的安全護欄（Safety Guardrails）就會開始失效。AI 會錯誤地認為在遊戲場景下，現實世界的安全守則不再適用，從而聽從攻擊者的暗示，執行原本會被拒絕的敏感操作。

實測六款 AI 工具：成功竊取 GitHub 憑證

在 LayerX 進行的概念驗證（PoC）測試中，研究人員展示了這種攻擊如何導致嚴重的數據洩漏。實驗情境中，AI 被引導至一個特定的 GitHub 存儲庫，並被要求複製其中的 SSH 憑證。在正常情況下，AI 應識別出這是高風險的敏感數據存取行為並予以拒絕；但在 BioShocking 的攻擊框架下，AI 將此行為視為「完成遊戲任務」的必要步驟，在毫無警示的情況下完成了數據竊取。

研究團隊針對六款主流的代理式 AI 瀏覽器及插件進行了測試，結果顯示所有受測對象在初始狀態下均能被成功規避安全守則。受影響的名單包括：

1. OpenAI ChatGPT Atlas
2. Perplexity Comet
3. Anthropic Claude Chrome Plugin
4. Fellou
5. Genspark Browser
6. Sigma Browser

廠商修補進度參差：僅 OpenAI 實施有效修復

根據 LayerX 的報告，研究團隊早在 2025 年 10 月至 2026 年 1 月期間，已陸續向相關廠商發出漏洞通知。然而，各廠商的應對態度與修補進度存在顯著差異。截至目前為止，OpenAI 是唯一一家針對其 ChatGPT Atlas 實施了有效修復方案的廠商。

相比之下，其他廠商的進展並不理想。Anthropic 雖然曾嘗試為其 Claude 插件發布修補程式，但研究人員實測後發現該修補對 BioShocking 攻擊無效。Perplexity 則選擇關閉漏洞報告，並未進行實質修補。至於 Fellou、Genspark 及 Sigma 等較小規模的開發商，則尚未對研究團隊的報告作出任何正式回應。這意味著使用這些工具的用戶，目前仍暴露在相關風險之中。

專家建議：加強顯式確認與權限控管

針對這類新型的 AI 安全威脅，LayerX 建議開發商必須重新審視 AI 代理的權限管理機制。在執行涉及敏感操作（如存取密碼管理器、私人存儲庫或電子郵件）前，系統不應僅依賴 AI 的自我判斷，而必須強制要求用戶進行「顯式確認」（Explicit Confirmation）。此外，實施更嚴格的上下文檢查與權限範圍限制，也是防止 AI 被惡意網頁誤導的關鍵。

對於一般用戶而言，應將 AI 瀏覽器視為具備高度權限的應用程式，謹慎授予其存取權限。專家建議用戶應明確區分 AI 可見的內容區域，並在完成特定任務後，及時撤銷 AI 對敏感登入會話（Authenticated Sessions）的存取授權，以降低數據外洩的風險。