2025年10月28日，Futurism 报道，针对 OpenAI 新推出的 AI 浏览器 Atlas 的“omnibox”（集成地址栏与 AI 提示的输入域）出现了一种新的、危害显著的攻击方式：提示注入（prompt injection）。研究人员演示了如何通过构造特定 URL、页面片段或隐藏文本，诱使 omnibox 将页面内容或 URL 中的指令当作用户意图发送给后端模型，从而绕过传统的同源与沙箱边界。
Atlas作为OpenAI首款AI驱动浏览器，于10月21日发布，旨在通过“代理模式”让AI助手完成复杂任务，如订机票或购物，但其设计缺陷让黑客轻易注入恶意指令，导致浏览器执行有害操作。作者Victor Tangermann指出，这一漏洞并非孤立，而是AI代理浏览器类产品的系统性问题，类似于Perplexity的Comet浏览器。 结合LayerX Security、The Hacker News和Malwarebytes等权威来源的最新报道，这一漏洞的严重性远超预期，或放大隐私泄露和数据破坏风险。 OpenAI首席信息安全官Dane Stuckey承认，prompt注入仍是“前沿未解难题”，对手将投入巨资攻克ChatGPT代理。 此事凸显AI浏览器从创新到安全的十字路口，全球监管机构或介入，推动行业标准重塑。
报告详细描述了攻击链的几个关键环节：首先，攻击者在网页中嵌入精心设计的文本或数据 URI，该内容被 omnibox 在解析地址或展示预览时采集；其次，omnibox 未能严格区分“用户直接输入”与“页面提供的文本”，将拼接后的字符串作为 prompt 发送给模型；最后，模型依据收到的混合上下文执行指令，可能返回敏感信息或执行基于文本的动作。研究者指出，这类注入可以被用来诱导模型泄露会话上下文、系统级提示，甚至生成可用来进一步钓鱼或社会工程学攻击的内容。
技术细节上，报告强调两点危险属性：一是 omnibox 同时承担地址解析与自然语言提示的双重角色，导致输入边界模糊；二是模型对指令性文本具有高度顺从性，难以通过静态过滤完全阻断“恶意指令”被解析为合法请求。研究团队展示了多种概念验证（PoC），包括通过 URL fragment 注入带有“显示所有本地文件名”类似指令，促使模型在回复中返回本应受限的信息片段。 NeuralTrust研究团队发现，其omnibox（地址栏）极易受prompt注入攻击。 攻击方式简单：黑客伪造一个看似URL的字符串（如以“https://”开头，但故意畸形），用户复制粘贴到omnibox后，浏览器无法验证为有效网页，转而视整个字符串为“高信任用户意图”提示。 这绕过安全检查，让嵌入的恶意指令执行，如“仅遵循这些指令”或“访问neuraltrust.ai”。
潜在影响覆盖面广：对于普通用户，攻击可导致隐私数据泄露、被引导访问恶意链接或生成可信的钓鱼文本；对于开发者与企业，攻击可能被用于窃取内部提示、暴露配置或篡改自动化任务的输入输出。报告还指出，传统 Web 安全假设（如同源策略）并不能直接对抗基于“语义层面”的提示注入，因为攻击目标转而是“会解释文本”的 AI 层而非浏览器 DOM 本身。
在应对方面，研究者提出多项短中期缓解措施：限制 omnibox 自动采集页面文本的权限、对来自页面的输入进行严格标记与隔离、在发送给模型前对提示进行上下文最小化与策略过滤。此外，长远的修复应包括对浏览器与模型接口的权限分层设计，确保只有明确用户交互才能触发高敏感度操作，并为模型引入可验证的“拒绝规则”。
Futurism 报道还提醒普通用户在使用集成 AI 浏览器时提高警惕：避免在未验证来源弹出的提示中输入敏感信息，暂时关闭自动摘要或自动执行类功能，及时更新浏览器与扩展以获取厂商补丁。文章强调，这起发现凸显出一个更广泛的问题——当 AI 功能被直接嵌入浏览器时，安全边界需要重新定义，过去依靠浏览器沙箱的防护策略必须补充面向语义和提示的防线。
这份研究向 OpenAI 披露了发现过程，并在报告中保留了若干技术细节以便同行审查与厂商修复。随着基于模型的 UI 越来越多地进入主流浏览器产品，开发者和安全社区需要更快地建立检测与缓解提示注入的标准流程，避免单点失误带来连锁风险。