BragJack: одно расширение угоняет ИИ-агентов в браузерах

Исследователь Гал Вейцман из компании Forever Security раскрыл технику атаки, позволяющую перехватить управление ИИ-помощниками, встроенными в браузеры, с помощью единственного вредоносного расширения. Концепт под названием BragJack продемонстрирован против пяти решений на базе Chromium: Gemini Live в Google Chrome, Perplexity Comet, Microsoft Edge, Opera Neon и Claude в Chrome от Anthropic. Работа принесла автору свыше 20 тысяч долларов вознаграждений (от 600 до 7000 у разных вендоров) и два идентификатора CVE. Google и Microsoft уже закрыли назначенные им уязвимости.

«Мозг» и «тело»

Вейцман описывает ИИ-браузеры как систему из «мозга» и «тела»: модель обрабатывает инструкции и решает, что делать, а привилегированный компонент браузера выполняет действия — открывает вкладки, читает содержимое, делает скриншоты, взаимодействует с сайтами. Проблема в том, что расширения способны вмешиваться в веб-трафик и страницы, которым этот привилегированный компонент доверяет.

Во всех пяти случаях использовалось одно и то же расширение, опиравшееся на механизм Chromium declarativeNetRequest (DNR), позволяющий менять обработку сетевых запросов, включая заголовки ответов и перенаправление ресурсов. В атаке на Chrome прямой доступ к привилегированному компоненту был заблокирован, но правила DNR перехватывали запросы встроенного веб-приложения Gemini. Ослабив заголовки безопасности и подменив JavaScript-ресурс, исследователь выполнил код в контексте Gemini и получил возможность читать локальные файлы, обращаться к веб-содержимому, делать скриншоты и потенциально добраться до камеры и микрофона. Chrome присвоил находке CVE-2026-0628 и выплатил 7000 долларов.

От чтения данных к управлению агентом

Атаки на агентские браузеры идут дальше, поскольку их помощники не просто читают страницы, но и действуют на них. В Comet Вейцман нашёл тестовый домен Perplexity, лишённый защиты основного сайта; загрузив его, он внедрил скрипт и заставил встроенного агента зайти в почту жертвы, составить сводку писем и отправить её на посторонний адрес.

В Edge, где агент был разделён на режимы «Думать» и «Делать», обнаружилось состояние гонки: ограничение ненадолго отключается при выдаче запроса и включается вновь до того, как агент проверит своё состояние (CVE-2026-55945). Аналогичные проблемы показаны в Opera Neon и Claude в Chrome.

Prompt Forcing

Свою технику автор называет Prompt Forcing. В отличие от классического внедрения инструкций в читаемый контент, здесь атакующий передаёт агенту целый запрос с дальнейшими указаниями, а тот переводит их в законные действия браузера, используя собственные привилегии. Опасность в том, что финальное действие выполняет не вредоносный код, а легитимное ПО, которому велели атаковать, — обычные средства защиты конечных точек этого не замечают.

Пользователям советуют своевременно обновлять браузеры, удалять незнакомые и неиспользуемые расширения и с осторожностью относиться к запросам на право «читать и изменять все данные на всех сайтах».

Источник: Bleeping Computer