I contenuti del sito possono spingere un agente a pagare
La rottura non è il phishing contro l’utente, ma contro il criterio con cui l’agente decide cosa obbedire. Se un browser autonomo prende il testo della pagina come istruzione, un sito manipolato può portarlo a autorizzare un pagamento o a fidarsi di una piattaforma crypto falsa senza alcun exploit.
Zscaler ha trovato due campagne attive che usano SEO poisoning, typosquatting e prompt nascosti nel markup delle pagine. In un caso il sito fingeva documentazione tecnica e spingeva l’agente verso un pagamento per ottenere una API key; nell’altro impersonava DeBank con metadati e istruzioni nascoste per far riconoscere il falso dominio come legittimo. Nei test, 4 dei 26 LLM valutati sono stati indotti a completare il pagamento, e 2 hanno classificato il sito fraudolento come la piattaforma fidata.
Il punto per i team che adottano agenti con capacità di navigazione e pagamento è che il controllo non passa solo da password e training degli utenti. Il perimetro si sposta sul contenuto che l’agente è disposto a trattare come attendibile, e quindi su cosa può essere spinto a fare nel mondo reale.