Le regole del digitale stanno cambiando.
O sei visibile o sei fuori. Noi ti aiutiamo a raggiungere i clienti giusti — quando ti stanno cercando.
Contattaci ora
La tecnica sfrutta gli assistenti AI integrati nei browser, un difetto di progettazione che riguarda prodotti di aziende concorrenti
I ricercatori di Forever Security hanno compromesso gli assistenti AI di cinque browser con la tecnica Prompt-Forcing, ottenendo risarcimenti da Google, Anthropic, Microsoft, Perplexity e Opera. Il difetto è di progettazione, non un bug isolato: le difese aziendali non vedono l'esfiltrazione via HTTPS. Resta il dubbio che le correzioni, come la CVE-2026-0628, non bastino a chiudere la superficie d'attacco.
Cinque browser, decine di migliaia di dollari in bug bounty e una sola tecnica: Prompt-Forcing. Non è una novità dei giorni scorsi: il team di ricerca di Forever Security ha dimostrato mesi fa che gli assistenti AI integrati nei browser sono il nuovo anello debole della sicurezza online, un tema già affrontato da Trail of Bits a febbraio 2026 e dalla Cloud Security Alliance ad aprile 2026. I ricercatori hanno violato cinque tra i browser più diffusi al mondo sfruttando i loro assistenti AI integrati, guadagnando decine di migliaia di dollari in bug bounty versati da Google, Anthropic, Microsoft, Perplexity e Opera. Il caso peggiore è stato Perplexity Comet: stando al rapporto, l’exploit trovato in quel browser è stato di gran lunga il più grave dell’intera ricerca.
Ma cosa rende possibile un attacco così trasversale? La risposta sta in un dettaglio tecnico che pochi hanno notato. Tutte le vulnerabilità scoperte, come spiegano i ricercatori, condividono lo stesso difetto di progettazione critico. Non si tratta di un bug isolato in un singolo prodotto, ma di un modo di costruire gli assistenti AI nei browser che apre la porta allo stesso tipo di attacco su piattaforme diverse. Un difetto di fabbrica, insomma, che attraversa prodotti di aziende concorrenti.
Il difetto di progettazione che i perimetri aziendali ignorano
La risposta a quella domanda è un paradosso: il problema non è una falla nuova, ma un difetto di progettazione che le difese non hanno mai coperto. Il caso più documentato riguarda Gemini, l’assistente AI di Google integrato in Chrome. Palo Alto Networks Unit 42 ha scoperto una vulnerabilità di alta gravità — identificata come CVE-2026-0628 — nell’implementazione della nuova funzione Gemini in Chrome: permetteva a un aggressore di entrare nell’ambiente del browser e accedere ai file del sistema operativo locale. La segnalazione è stata responsabile, e Google ha rilasciato la correzione già a gennaio di quest’anno, prima che l’informazione diventasse pubblica.
Il punto, però, è un altro. Il team di Forever Security ha dimostrato che cinque diversi browser agent possono essere completamente compromessi partendo da una qualsiasi estensione ordinaria. L’impatto ottenibile va dall’accesso a file locali e cronologia di navigazione alla fotocamera e al microfono, fino all’acquisizione di screenshot delle schede aperte. E qui arriva la parte scomoda: le difese aziendali tradizionali non vedono nulla.
I sistemi di prevenzione della perdita di dati (DLP), i broker di sicurezza per l’accesso al cloud (CASB) e il rilevamento degli endpoint (EDR) hanno visibilità limitata o nulla sul comportamento delle estensioni a livello di DOM, cioè il modello che struttura le pagine web. Come spiega la Cloud Security Alliance, l’estrazione dei dati avviene dentro il browser e l’esfiltrazione viaggia su normalissimo HTTPS: nessuna anomalia rilevabile al perimetro di rete. Non serve un malware sofisticato. Basta un’estensione ordinaria, e i dati escono dalla porta principale.
Eppure, se Google ha corretto a gennaio, perché le aziende continuano a non avere visibilità?
Cosa aspettarsi: audit incrociati e una superficie d’attacco nuova
La risposta è scomoda. Se un concorrente come Brave — che produce un browser con un proprio assistente AI, Leo — ha scoperto e segnalato a Perplexity le vulnerabilità di prompt injection in Comet, significa che la fiducia nei perimetri aziendali è già superata. Non stiamo parlando di un laboratorio accademico: è un produttore rivale che trova le falle nel prodotto di un altro.
C’è anche un precedente significativo. Già a febbraio di quest’anno, Trail of Bits aveva dimostrato, usando il suo modello di minaccia chiamato TRAIL, come quattro tecniche di prompt injection potessero estrarre informazioni private degli utenti da Gmail sfruttando l’assistente AI del browser. E Comet era proprio uno dei cinque browser presi di mira dalla tecnica ora chiamata Prompt-Forcing.
Per chi fa impresa online, il calcolo del rischio cambia. La superficie d’attacco si è spostata dentro il browser, e le difese tradizionali non la coprono. Chi fa impresa online non può più ignorare una domanda: cosa succede quando l’assistente AI del browser è il tuo punto più vulnerabile?
La risposta, a giudicare da quello che è emerso non negli ultimi giorni ma già da mesi, è già scritta: serve ricalcolare l’esposizione. Perché se un’estensione ordinaria può compromettere un assistente AI — come ha documentato l’audit di Trail of Bits su Comet, pubblicato a febbraio, e come ha ribadito la Cloud Security Alliance in aprile — e le difese aziendali, dal DLP al CASB all’EDR, non riescono a vedere il comportamento delle estensioni a livello di DOM, il perimetro è già stato oltrepassato.
