TrendAI Research visar att webbsidors textinnehåll kan styra hur Chromes inbyggda AI svarar. Forskarna pekar också på en separat, ännu experimentell funktion som låter AI anropa verktyg och applikationer som gjorts tillgängliga i webbläsaren. Det öppnar för risker kopplade till hur verktygen används.
Chrome kan ha en AI-modell installerad lokalt på kompatibla datorer. TrendAI forskare har visat att instruktioner som bäddas in i innehållet på en webbsida kan påverka Chromes Summarizer och Writing Assistance. Det betyder att innehållet på webbsidor kan få AI att avvika från sin avsedda uppgift, utan att användarens vetskap.
Experimentell AI-funktion kan innebära ytterligare säkerhetsrisker
Forskarna varnar även för Chromes experimentella funktion för verktygsanrop. Om funktionen är aktiverad och webbplatsen har gjort verktyg tillgängliga kan manipulerad text försöka få AI att anropa dem. Detta kan leda till skadliga handlingar via webbplatsen, som skickade mejl eller informationsläckage. 
TrendAI uppger att attacken har genomförts i testmiljöer, men inte bekräftat användning i praktiken. Man har inte heller visat hela attackkedjan från sidbesök till skadlig handling.
TrendAI uppmanar företag att granska sina AI-funktioner
– Det är allvarligt att innehåll på webbsidor kan påverka hur lokala AI-modeller svarar utan att användaren nödvändigtvis märker det, säger Andreas Christensen, VP Norden på TrendAI. Mitt råd till företag är att ta ställning till om den här funktionen ska vara aktiverad och granska hur deras egna webbapplikationer använder AI. Det är viktigt att vara medveten om att AI-svar kan påverkas av innehållet på en webbsida och alltid granska svar och förslag innan de leder till känsliga åtgärder.
Google har informerats om säkerhetsriskerna
Google har informerats om riskerna och har ersatt den tidigare lokala AI-modellen i Chromes bedrägeridetektor med en molnbaserad modell i Chrome 156.
TrendAI resultat om påverkan i just den äldre bedrägeridetektorn gäller därför inte i den nya implementationen.
Google har sagt att bolaget undersöker skydd mot promptinjektioner, men sårbarheten i Summarizer och Writing Assistance har inte åtgärdats.
