Атаки BragJack захватывают агенты искусственного интеллекта в браузерах с помощью вредоносных расширений.

[admin]

Исследователь в области безопасности Гал Вайзман из компании Forever Security раскрыл новую технику атаки, позволяющую перехватывать встроенные в популярные браузеры функции искусственного интеллекта с помощью одного вредоносного расширения для браузера.


Этот экспериментальный проект, получивший название BragJack, был продемонстрирован на пяти браузерах или браузерных помощниках на основе Chromium: Gemini Live от Google Chrome, Perplexity Comet, Microsoft Edge, Opera Neon и Claude от Anthropic в Chrome.


В результате исследования компания получила от пяти поставщиков вознаграждения за обнаружение уязвимостей на сумму более 20 000 долларов, в диапазоне от 600 до 7 000 долларов, и выявила две уязвимости CVE.

Для осуществления атаки необходимо, чтобы вредоносное расширение уже было установлено в браузере жертвы.


После этого исследователь показывает, что злоупотребление может происходить без взаимодействия с пользователем, позволяя расширению управлять агентом браузера с искусственным интеллектом и злоупотреблять его существующими привилегиями для доступа к конфиденциальной информации или действий от имени жертвы.


И Google, и Microsoft с тех пор устранили недостатки, которые им были поручены.

Злоупотребление доверенными компонентами браузера.​

Атаки используют тот факт, что искусственные интеллектуальные помощники все чаще интегрируются в браузеры и получают доступ к функциям браузерного уровня.


В своей статье Вейцман описывает эти системы как имеющие «мозг» и «тело». Модель искусственного интеллекта обрабатывает инструкции и решает, что должно произойти.


Затем привилегированный компонент браузера выполняет действия, такие как доступ к вкладкам, чтение контента, создание снимков экрана или взаимодействие с веб-сайтами.


По словам исследователя, проблема заключается в том, что расширения для браузеров могут манипулировать веб-трафиком и страницами, которым доверяют эти привилегированные компоненты.


Для всех пяти целевых платформ использовалось одно и то же расширение, основанное на функциональности Chromium declarativeNetRequest (DNR). DNR позволяет расширениям изменять способ обработки сетевых запросов, включая изменение заголовков ответов и перенаправление ресурсов.


В ходе атаки на Chrome Вейзман обнаружил, что, несмотря на блокировку расширений, препятствующую их прямому взаимодействию с привилегированным компонентом chrome://glic или внедрению скриптов на сайт Google Gemini, правила DNR все же могли перехватывать запросы, отправляемые встроенным веб-приложением Gemini.


Ослабив заголовки безопасности и перенаправив ресурс JavaScript, он выполнил код внутри контекста Gemini, взаимодействуя напрямую с привилегированным компонентом ИИ Chrome, а не проходя через обычный поток запросов Gemini.


Вайзман утверждает, что полученный доступ может позволить читать локальные файлы, получать доступ к веб-контенту, делать снимки экрана и потенциально получать доступ к камере и микрофону браузера. Chrome присвоил обнаруженной уязвимости идентификатор CVE-2026-0628 и выплатил вознаграждение в размере 7000 долларов.

От чтения данных до управления агентами искусственного интеллекта.​

Атаки на браузеры с агентным управлением, такие как Perplexity Comet и Opera Neon, идут еще дальше, поскольку их агенты могут взаимодействовать с веб-сайтами, а не просто читать их.


В ходе исследования Comet Вейзман обнаружил, что встроенное в браузер расширение агента доверяет нескольким доменам Perplexity, включая тестовый домен, который не имел тех же мер защиты, что и основной сайт perplexity.ai. Удалив перенаправление на этот домен с помощью DNR, он загрузил его и внедрил скрипт контента, способный взаимодействовать со встроенным агентом.


Полученный доступ включал историю просмотров, скриншоты, локальные файлы и возможность отправлять инструкции агенту. Вайзман продемонстрировал, как заставить агента посетить Perplexity, составить краткое содержание электронных писем жертвы и отправить результаты на другой адрес.


Microsoft Edge представлял собой другую проблему. Microsoft разделила свой агент на режимы «Думай» и «Делай», чтобы предотвратить одновременное выполнение произвольных инструкций и действий.


Вейзман обнаружил состояние гонки, при котором ограничение на короткое время отключается с принудительным запросом подтверждения, а затем возможность выполнения действия снова включается до того, как агент проверит его состояние. Microsoft присвоила идентификатор CVE-2026-55945 . этому состоянию гонки


Аналогичные уязвимости были продемонстрированы в Opera Neon и Claude в Chrome, хотя последний сам по себе является расширением для браузера, а не самим браузером.


Ранее в этом году, работая в Manifold Security, я сообщил о связанной с этим уязвимости в расширении Claude для Chrome: расширение запускало встроенные рабочие процессы ИИ на синтетических кликах, не проверяя, исходят ли они от реального пользователя, и отмеченный код оставался воспроизводимым даже спустя восемь релизов.


Это произошло после обнаружения уязвимости ClaudeBleed , ранее выявленной LayerX в апреле в том же расширении, из-за которой Claude для Chrome доверял источнику claude.ai, вместо того чтобы проверить, какой именно скрипт его использует.

«Быстрое принуждение»​

Вейцман называет метод, используемый для захвата этих агентов, методом «быстрого принуждения».


В отличие от традиционной инъекции подсказок, когда злоумышленник пытается внедрить вредоносные инструкции в контент, который уже читает ИИ, Prompt Forcing позволяет злоумышленнику передать агенту всю подсказку и последующие инструкции. Затем агент, используя свои существующие привилегии, преобразует эти инструкции в легитимные действия браузера.


По мнению исследователя, это важно для защиты конечных устройств, поскольку окончательное действие выполняется не обычным вредоносным кодом. Атаку выполняет легитимное программное обеспечение.


Компания BragJack указывает на растущую проблему, возникающую по мере того, как браузеры и другие приложения для конечных устройств получают все более совершенных агентов искусственного интеллекта. Компромиссное расширение, которое традиционно отображало бы только веб-контент, в некоторых случаях может стать путем к программному обеспечению, которое считывает файлы, данные просмотра и взаимодействует с веб-сайтами от имени пользователя.


Пользователям следует регулярно обновлять браузеры, удалять расширения, которые они не распознают или больше не используют, и с осторожностью относиться к запросам на предоставление общих разрешений, позволяющих читать и изменять все ваши данные на всех веб-сайтах.


В дополнение к своему обзору, Вейцман опубликовал подробный технический анализ всех пяти атак.

Источник