Im Fall von ChatGPT Atlas führt Zenity die Angriffe auf grundlegende Architekturprobleme zurück. Der agentische Browser sei für eine Zero-Click-Indirekte-Prompt-Injection anfällig, nicht wegen eines herkömmlichen Bugs, sondern wegen seines Designs. Die Forscher zeigten, dass sich über eine einzelne platzierte Antwort in einem X-Thread eine sogenannte „Intentionskollision“ ausnutzen lässt, um harmlose Nutzeranfragen zu kapern und den Agenten über authentifizierte Web-Sitzungen hinweg zu steuern.
Zenity argumentiert, dass agentische Browser die Same-Origin-Policy konstruktionsbedingt aufweichen, weil sie als eine einzige Instanz über mehrere gleichzeitig angemeldete Tabs hinweg arbeiten. Dadurch würden Mechanismen wiederbelebt, die faktisch Cross-Site-Request-Forgery ähneln: Bösartige Anweisungen auf einer nicht vertrauenswürdigen Seite können den Agenten dazu bringen, auf anderen Seiten zu handeln, auf denen der Nutzer gerade eingeloggt ist.
In einem von Zenity demonstrierten Szenario bittet ein Nutzer Atlas um eine Routineaufgabe, etwa die Anmeldung für einen Newsletter ausgehend von einem X-Beitrag. Ein speziell präparierter Kommentar leitet Atlas auf eine bösartige Seite weiter. Von dort navigiert der Agent laut den Forschern zu WhatsApp Web, liest die Kontaktliste des Opfers aus und verschickt Phishing-Nachrichten an sämtliche Kontakte.
Im zweiten Szenario wird Atlas zu Amazon gelenkt, legt Artikel in den Warenkorb und ändert die Lieferadresse auf den Standort des Angreifers. Um Beschränkungen zu umgehen, die einen Klick auf die abschließende Kauftaste verhindern, veranlasst Atlas laut Zenity den integrierten Amazon-KI-Assistenten Rufus, die Bestellung stattdessen auszulösen.
Diese Ergebnisse meldete Zenity im Januar 2026 an OpenAI. OpenAI habe den Bericht bestätigt, schreibt der Sicherheitsanbieter. Eine einfache Abhilfe gebe es jedoch nicht, weil der Angriff auf der beabsichtigten Kernfunktion eines agentischen Browsers beruhe: Webinhalte zu lesen und über authentifizierte Domains hinweg darauf zu reagieren.
Zusätzlich demonstrierte Zenity eine Zero-Click-Angriffskette gegen die offizielle Claude-Erweiterung für Chrome. Dabei lasse sich eine indirekte Prompt-Injection zu einer vollständigen Kontoübernahme über mehrere Webplattformen hinweg ausbauen. Ausgenutzt würden die erhöhten Berechtigungen, mit denen der agentische Browser in aktiven Nutzersitzungen arbeitet.
In einem von Zenity beschriebenen Angriff erhält das Opfer eine bösartige E-Mail mit unsichtbaren Prompt-Strukturen. Fordert der Nutzer Claude lediglich auf, die neuesten E-Mails zusammenzufassen, interpretiert der Agent die versteckten Inhalte als direkte Befehle. Schutzmechanismen sollten zwar die direkte Ausführung schädlicher Skripte blockieren, doch laut Zenity lässt sich das umgehen, indem Angreifer eigene NPM-Pakete über ein manipuliertes CDN bereitstellen. Claude werde dazu gebracht, einen harmlos wirkenden Import aufzurufen, der unbemerkt Schadcode ausführt.
Die Forscher zeigten, dass das Skript innerhalb aktiver Sitzungs-Cookies den Atom-Feed von Gmail abfragen, Nachrichtenkennungen extrahieren, vollständige E-Mail-Inhalte analysieren und den Posteingang unbemerkt an einen Server des Angreifers exfiltrieren kann. Ebenso könne der Angreifer sämtliche Dateien im Google-Drive-Konto des Zielnutzers stillschweigend mit einem von ihm kontrollierten Konto teilen.
Zenity demonstrierte außerdem Kontoübernahmen bei Slack und X. Dabei könne der Angreifer eine Anmeldung oder Passwortzurücksetzung anstoßen und den Agenten anweisen, Gmail auf eingehende Bestätigungscodes zu überwachen. Diese würden dann an den Angreifer weitergeleitet, um die Sitzungsübernahme abzuschließen.
Die Befunde zu Claude meldete Zenity nach eigenen Angaben im Dezember 2025 und Januar 2026 an Anthropic. Dort seien sie als „informativ“ eingestuft worden.