Zenity beschreibt PleaseFix nicht als einzelne Lücke, sondern als ganze Schwachstellenklasse. Michael Bargury sagte, sein Team habe bei unterschiedlichen agentischen Browsern sehr verschiedene Designs und Sicherheitszusagen gefunden, komme aber immer zum selben Ergebnis: Jeder einzelne lasse sich angreifen. Anders als beim seit Jahren bekannten ClickFix-Muster, bei dem Nutzer zu einer schädlichen Aktion verleitet werden, genüge es bei KI-Agenten laut Zenity, den Agenten entsprechend zu instruieren.
Nach Angaben der Forscher kann PleaseFix in natürlicher Sprache ausgenutzt werden, um Null-Klick-Angriffsketten auszulösen. Diese könnten agentische Browser kapern und bis zur Remotecodeausführung eskalieren. Bargury zufolge lassen sich so unter anderem soziale Konten übernehmen, Nachrichten über WhatsApp im Namen des Nutzers versenden oder Einkäufe bei Amazon auslösen. Darüber hinaus sei es seinem Team gelungen, aus dem Browser auf das zugrunde liegende System überzugehen und vollständige Remotecodeausführung zu erreichen.
Erste Ergebnisse hatte Zenity bereits im März vorgestellt. Damals veröffentlichte das Unternehmen zwei Angriffe auf eine von ihm als Perplexed Browser bezeichnete Schwachstelle in Perplexity Comet. Der erste Angriff habe eine Null-Klick-Kompromittierung des Agenten ermöglicht, um Zugriff auf lokale Dateisysteme zu erlangen. Der zweite habe eine Kontoübernahme bei Passwortmanagern erlaubt. Zu diesem Zeitpunkt sei das noch auf Comet beschränkt gewesen, habe aber die breiter angelegte Forschung ausgelöst.
Danach habe Zenity nach eigenen Angaben agentische Browser systematisch einzeln untersucht und dafür Produkte von ChatGPT Atlas bis Claude for Chrome rückentwickelt. Ziel sei gewesen zu verstehen, wie Sicherheitsmechanismen verändert wurden, um autonome Agentenaktionen zu ermöglichen. Dabei sei deutlich geworden, dass PleaseFix weit verbreitet sei. Bargury betont, es gehe nicht um ein oder zwei Fehler, sondern um eine ganze Klasse von Schwachstellen.
Ein zentrales Angriffsmuster nennt Zenity Intent Collision. Laut Forscher Stav Cohen wird dabei eine scheinbar harmlose Nutzeranfrage so genutzt, dass der Agent auf schädliche Anweisungen aus nicht vertrauenswürdigen Inhalten stößt. Bargury sagt, man greife die Schutzplanken nicht direkt an und verzichte sogar auf Prompt Injection. Stattdessen werde der Agent davon überzeugt, dass sich der Nutzerwunsch über das Ziel des Angreifers erfüllen lasse.
Als technische Ursache sieht Bargury eine Rückkehr zu alten Browser-Sicherheitsproblemen. In den vergangenen 20 Jahren habe die Branche unter anderem gegen SSRF und CSRF eine Vielzahl von Schutzschichten aufgebaut. Besonders wichtig seien Beschränkungen zwischen verschiedenen Ursprüngen, die verhindern, dass Aktionen einer Website in eine andere Domain hineinwirken. Genau diese grundlegende Kontrolle hätten agentische Browser mit KI-Agenten laut Bargury entfernt.
Zu ähnlichen Beobachtungen kamen im April auch Franziska Roesner und David Kohlbrenner von der Paul G. Allen School of Computer Science & Engineering der University of Washington. In ihrer Arbeit „Agentische Browser und die Same-Origin-Policy“ schreiben sie, dass verschiedene agentische Browser die Same-Origin-Policy sehr unterschiedlich umsetzen. Die restriktivsten Systeme gäben dem Agenten nur begrenzte Informationen über eine Webseite in einem vordefinierten Prompt-Format, während die am wenigsten restriktiven Systeme vollwertige Browser-Agenten seien, die sich wie menschliche Nutzer verhalten. Der erste Ansatz schränke den Nutzen stark ein, der zweite untergrabe jahrzehntelange Arbeit an der Browsersicherheit.
Bargury kritisiert zudem, dass weniger restriktive agentische Browser strikte, deterministische Sicherheitskontrollen durch nicht deterministische Systeme mit Klassifikatoren ersetzen, die lediglich möglichst gut erkennen sollen, ob etwas problematisch ist. Solche Systeme versagten zwangsläufig in einem Teil der Fälle. Für Unternehmen sei zudem problematisch, dass agentische Browser Black Boxes seien: Es fehle an Einblicken, an Protokollen und an der Gedankenkette. Genau das hält Bargury für nicht akzeptabel bei einer unternehmensweiten Einführung.