„PleaseFix“ auf der Black Hat: Zenity erklärt agentische Browser zur eigenen Schwachstellenklasse
Auf der Black Hat USA 2026 (4.–6. August, Las Vegas) haben Michael Bargury, Stav Cohen und Tamir Ishay Sharbat von Zenity Labs am 5. August die Sitzung „Pwning Agentic Browsers with PleaseFix: A New Vulnerability Class for 0-Click Takeover“ gehalten. PleaseFix ist die Agenten-Variante des bekannten ClickFix: Nicht der Mensch wird zur schädlichen Handlung überredet, sondern der Agent – über Inhalte, die er bei ganz gewöhnlicher Arbeit verarbeitet. Zenity hatte die Klasse am 3. März 2026 erstmals offengelegt, damals am Beispiel von Perplexitys Comet-Browser: zwei Angriffswege, einer zum Auslesen und Abfließen lokaler Dateien, einer zur Übernahme eines angemeldeten 1Password-Kontos. Beide brauchen keinen Klick, keinen Schadcode auf dem Gerät und keine Social-Engineering-Interaktion mit dem Nutzer.
Die beiden im März gezeigten Angriffswege gegen Comet, von Zenity als „PerplexedBrowser“ geführt: Im ersten genügt ein präparierter Inhalt – in der Darstellung von CyberScoop und SiliconANGLE etwa eine Kalendereinladung –, damit der Agent selbsttätig auf das lokale Dateisystem zugreift, Verzeichnisse durchsucht und Inhalte an einen vom Angreifer kontrollierten Endpunkt abfließen lässt; dem Nutzer wird währenddessen ein unauffälliges Ergebnis angezeigt. Im zweiten lenkt derselbe Mechanismus den Agenten in eine bereits angemeldete 1Password-Sitzung: einzelne Zugangsdaten auslesen, Einstellungen und Master-Passwort ändern, Wiederherstellungsmaterial abgreifen – bis zur vollständigen Kontoübernahme. Stav Cohen, Senior AI Security Researcher bei Zenity, beschreibt die gemeinsame Wurzel so: „These issues do not target a single application bug. They exploit the execution model and trust boundaries of AI agents“ – sobald die Entscheidung delegiert sei, hänge der Zugriff auf sensible Ressourcen „on the agent's interpretation of intent rather than on an explicit user action“.
Was die Black-Hat-Sitzung darüber hinaus zeigt, ist die Verallgemeinerung. Neben PleaseFix als Klasse stellt Zenity eine Technik namens „Intent Collision“ vor, die dem Agenten untergeschobene Anweisungen als scheinbar legitimen Nutzerauftrag erscheinen lässt; als Auslöser genügen laut der Vorschau alltägliche Berührungen mit fremden Inhalten, etwa ein Social-Media-Beitrag oder eine Newsletter-Anmeldung. Aus der Verkettung entstehen 0-Klick-Angriffsketten mit Kontoübernahme, Datenabfluss, Persistenz und Codeausführung außerhalb der Browser-Sandbox. Die Cloud Security Alliance ordnete PleaseFix schon im März in eine Reihe gleichartiger Befunde ein – ZombieAgent (OpenAI Deep Research), Tainted Memories (OpenAI Atlas), GeminiJack (Google Gemini) – und benennt als gemeinsame Ursachen das Fehlen einer Herkunftsprüfung für Anweisungen und zu weit vererbte Berechtigungen: Ein Agent behält seine OAuth-Rechte auf Mail, Kalender, Dateien und Passwortverwalter, und jede verarbeitete Anweisung kann sie nutzen.
Stand der Behebung und was offen bleibt: Perplexity hat die zugrundeliegende Ausführungslogik nach eigener Darstellung vor der Veröffentlichung adressiert – strengere Bestätigungen bei sensiblen Aktionen, Unternehmenssteuerung zum Abschalten von Agenten auf bestimmten Seiten. 1Password verweist darauf, dass die Ursache im Ausführungsmodell des Browsers und nicht in der eigenen Plattform liege, und hat automatische Anmeldung abschaltbar sowie das Ausfüllen von Zugangsdaten bestätigungspflichtig gemacht. Damit ist der konkrete Fall geschlossen, die Klasse nicht: Zenity nennt weitere agentische Browser als betroffen, ohne sie zu benennen. Unabhängige Nachmessungen der Angriffsketten gibt es bislang nicht; sämtliche Details stammen vom Entdecker beziehungsweise aus dessen Vortragsvorschau. ⚠️ Der Abstract der Black-Hat-Sitzung selbst war für uns nicht abrufbar (blackhat.com HTTP 403); Titel, Sprecher und Termin sind über Zenitys eigene Veranstaltungsseite belegt.