Browser AI OpenAI Atlas Rentan Diserang, Bisa Spam WhatsApp dan Beli Barang di Amazon Tanpa Izin

Penemuan Kritis di Browser AI OpenAI Atlas

Peneliti keamanan dari firma Israel Zenity mengungkapkan lebih dari selusin kerentanan keamanan pada OpenAI Atlas, browser berbasis AI yang dikembangkan OpenAI. Temuan ini disampaikan di konferensi keamanan siber Black Hat 2026 di Las Vegas. Celah-celah ini memungkinkan penyerang mengalihkan browser untuk mengirim pesan spam ke puluhan kontak WhatsApp korban, serta melakukan pembelian tidak sah di Amazon — semua tanpa persetujuan atau kesadaran pengguna.

Bagaimana Serangan Berjalan

Menurut laporan Zenity, kerentanan terletak pada cara Atlas menangani prompt injection dan eksekusi perintah otomatis. Browser AI ini dirancang untuk “bertindak” atas nama pengguna: menelusuri web, mengisi formulir, mengklik tombol, hingga menyelesaikan transaksi. Namun, mekanisme validasi dan batas otoritas (authorization boundary) terbukti lemah.

Penyerang cukup menanamkan instruksi jahat di halaman web yang dikunjungi korban — misalnya melalui komentar, iklan, atau halaman phishing yang dirancang mirip situs legitim. Saat Atlas “membaca” halaman tersebut, ia mengeksekusi instruksi tersembunyi tersebut seolah-olah perintah pengguna.

Contoh skenario nyata yang didemonstrasikan peneliti:

• Spam WhatsApp: Atlas dibujuk untuk membuka WhatsApp Web, memilih puluhan kontak, dan mengirim pesan berisi tautan phishing atau promosi palsu.
• Pembelian Amazon: Browser menavigasi ke Amazon, menambahkan barang ke keranjang, dan menyelesaikan checkout menggunakan metode pembayaran tersimpan.

Kedua aksi terjadi di latar belakang, tanpa notifikasi atau konfirmasi eksplisit ke pengguna.

Mengapa Browser AI Berisiko Lebih Tinggi dari Browser Biasa

Browser tradisional (Chrome, Firefox, Safari) bersifat passive: menampilkan konten, mengeksekusi JavaScript, tapi tidak “memutuskan” tindakan atas nama pengguna. Browser AI seperti Atlas, Operator (OpenAI), atau Computer Use (Anthropic) bersifat agentic — mereka diberi mandat untuk bertindak: klik, ketik, beli, kirim pesan.

Perbedaan fundamental ini menciptakan permukaan serangan (attack surface) yang jauh lebih luas:

1. Prompt injection indirect: Instruksi jahat disisipkan di konten web, tidak lewat chat langsung.
2. Ketiadaan batas konteks: Agent sulit membedakan perintah pengguna asli vs instruksi tersemat di halaman.
3. Otorisasi terlalu luas: Satu sesi login bisa digunakan untuk banyak layanan (WhatsApp, Amazon, Gmail, dll) tanpa MFA per aksi.
4. Log aktivitas minim: Pengguna sulit mengaudit apa yang telah dilakukan agent.

Respons OpenAI dan Mitigasi Sementara

OpenAI telah diberitahu (responsible disclosure) beberapa minggu sebelum presentasi Black Hat. Perusahaan mengonfirmasi menerima laporan dan menyatakan sedang memperbaiki celah-celah tersebut. Namun, hingga artikel ini ditulis, belum ada rilis patch resmi atau timeline pasti.

Sebagai mitigasi sementara, Zenity menyarankan:

• Menonaktifkan fitur “tindakan otomatis” (autonomous actions) di pengaturan Atlas.
• Mengaktifkan konfirmasi manual untuk setiap transaksi atau pengiriman pesan.
• Menghapus metode pembayaran tersimpan dari akun yang diakses browser AI.
• Menggunakan akun terpisah (bukan akun utama) untuk eksperimen browser AI.

Implikasi Lebih Luas: Keamanan AI Agent

Kasus Atlas bukan insiden terisolasi. Bulan lalu, peneliti juga menemukan celah serupa pada Operator (agent browser OpenAI versi lain) dan Computer Use milik Anthropic. Pola yang muncul: semakin cerdas dan autonom agent, semakin sulit mengamankannya.

Beberapa tantangan fundamental yang belum terpecahkan:

• Aligning intent vs execution: Cara memastikan agent hanya mengeksekusi niat pengguna, bukan instruksi tersemat.
• Sandboxing yang efektif: Membatasi akses agent ke data sensitif dan aksi berbahaya tanpa mengurangi kegunaan.
• Audit trail: Mencatat setiap keputusan agent agar bisa ditinjau dan di-rollback.
• Human-in-the-loop default: Membuat konfirmasi pengguna sebagai default, bukan opsional.

Standar industri seperti OWASP Top 10 for LLM Applications dan MITRE ATLAS mulai mencakup kategori ancaman khusus untuk AI agent, tapi implementasi di produk konsumen masih ketinggalan.

Apa yang Hacks Dilakukan Pengguna Saat Ini

Jika Anda mencoba browser AI atau agent serupa (Operator, Computer Use, Rabbit R1 mode browser, dll), terapkan langkah-langkah ini:

1. Gunakan akun terpisah: Jangan gunakan akun Google/Amazon/WhatsApp utama. Buat akun khusus eksperimen.
2. Hapus kartu kredit tersimpan: Di Amazon, Google Pay, Apple Pay, dan layanan lain yang bisa diakses browser.
3. Aktifkan 2FA di mana saja: Khususnya WhatsApp (two-step verification), Amazon, email.
4. Batasi izin browser: Nonaktifkan akses kamera, mikrofon, lokasi, notifikasi, clipboard.
5. Pantau log aktivitas: Cek riwayat chat WhatsApp Web, riwayat pesan Amazon, aktivitas login secara berkala.
6. Jangan biarkan agent berjalan tanpa pengawasan: Tutup jendela browser saat tidak digunakan.

Masa Depan Browser AI: Keseimbangan Otomatisasi dan Keamanan

Browser AI menjanjikan produktivitas radikal: memesan tiket, membandingkan harga, mengisi formulir pajak, menjawab email — semua otomatis. Tapi insiden Atlas mengingatkan bahwa otonomi tanpa batas keamanan adalah resep bencana.

Beberapa arah solusi yang sedang dikembangkan komunitas keamanan:

• Policy engine terpisah: Aturan keamanan (bisa/belum bisa beli, kirim pesan, akses data) dikelola di lapisan terpisah dari model AI, tak bisa dioverride prompt.
• Capability-based security: Agent hanya mendapat “token” kemampuan spesifik per tugas (mis. token “baca email” tidak bisa dipakai untuk “kirim WA” ).
• Verifiable execution logs: Setiap aksi dicatat dengan bukti kriptografis, bisa diverifikasi pengguna atau auditor.
• Default-deny untuk aksi berisiko: Pembelian, pengiriman pesan massal, perubahan kata sandi — selalu butuh MFA hardware (YubiKey, Passkey).

Kesimpulan

Penemuan Zenity pada OpenAI Atlas adalah wake-up call bagi industri AI. Browser agent adalah langkah besar menuju komputasi otonom, tapi keamanan tidak boleh jadi afterthought. Sebelum patch resmi keluar, pengguna sebaiknya memperlakukan browser AI seperti staf magang cerdas tapi belum bisa dipercaya sepenuhnya: beri tugas spesifik, awasi eksekusi, dan tidak pernah serahkan kunci dompet digital.

Untuk pengembang dan perusahaan: investasi keamanan agent (red-teaming, formal verification, runtime monitoring) Hacks sebanding dengan investasi kecerdasan model. Karena agent yang pintar tapi tidak aman, justru lebih berbahaya dari agent yang bodoh.