Säkerhetsforskare på Salt Labs hittade ett sätt att få Manus att köra kod som dolts i ett e-postmeddelande. Det blottlade en svaghet i hur AI-agenten hanterade innehåll som inte gick att lita på. Enligt rapporten har metoden sedan dess åtgärdats.
Salt Labs testade Manus Gmail-integration genom att skicka ett e-postmeddelande med en dold prompt. Manus identifierade den som skadlig, men forskarna sade att agenten ändå tolkade innehållet i meddelandet som instruktioner. En säkerhetsmekanism stoppade åtgärden.
Forskarna provade sedan andra metoder, bland annat Base64-kodning, innan de använde JSFuck, en ovanlig metod för att dölja JavaScript-kod. De lade in en enkel JSFuck-kodad nyttolast i ett e-postmeddelande. Salt Labs sade att Manus behandlade den som innehåll som skulle avkodas och återges, men körde JavaScript på serversidan. Forskarna rapporterade att nyttolasten kördes som avsett.
Enligt Salt Labs meddelade Manus ägaren först efter att koden hade körts. Forskarna sade att de rapporterade problemet via Metas bug bounty-program och att det har åtgärdats och inte längre går att utnyttja.
Rapporten konstaterar att risken ökar när AI-agenter kan komma åt anslutna tjänster. Enligt Menlo i företagets konsumentrapport om AI från 2026 hade användare gett agenter åtkomst till e-post (36 %), webbläsare (33 %), meddelandeappar (31 %), molnlagring (29 %) och kalendrar (27 %). Åtkomst till hälsoappar (23 %) och finansiella konton (20 %) var mindre vanlig.
Salt Labs sade att skydden måste omfatta både prompter och modellbeteende och vad agenter faktiskt gör via de verktyg, API:er och system de kan nå.
Kommentarer
0Inga kommentarer ännu. Skriv den första.