Одно расширение против пяти ИИ-браузеров: как обойти защиту агента

Специалисты компании Forever Security продемонстрировали, что одно рядовое браузерное расширение может получить контроль над встроенными ИИ-ассистентами сразу в пяти продуктах на базе Chromium: Gemini Live в Chrome, Perplexity Comet, Microsoft Edge, Opera Neon и расширении Claude in Chrome. После установки расширение получало доступ к ИИ каждого продукта буквально в один клик — а в ряде случаев и вовсе без единого клика.

По описанию исследователей, все эти продукты устроены одинаково. У ИИ есть «тело» внутри браузера — оно видит экран, открывает файлы, обращается к камере и совершает действия, — и «мозг» на серверах вендора, который отдаёт «телу» команды. При этом «тело» слушается лишь одной доверенной страницы, например gemini.google.com или perplexity.ai. Расширение по замыслу не должно управлять этим механизмом: оно может менять веб-страницы, но не сам браузер. Forever Security нашла обход — перехватить ту самую доверенную страницу и через неё отдавать «телу» собственные команды.

Для этого хватило двух распространённых разрешений: одного, меняющего содержимое страниц (его используют блокировщики рекламы), и declarativeNetRequest, вмешивающегося в сетевой трафик. Вместе они позволяли внедрить свой код в доверенную страницу и общаться с ИИ от лица вендора.

Разная тяжесть последствий

Возможности зависели от продукта. В Chrome и Comet расширение могло читать локальные файлы, в Chrome — ещё и включать камеру с микрофоном. В Comet, Edge, Opera Neon и Claude оно управляло самим агентом, действуя от имени пользователя. Худшим случаем исследователи назвали Comet: Perplexity построила его как полностью управляемый ИИ браузер, поэтому захваченный агент мог читать любые файлы, перечислять посещённые сайты и делать скриншоты. Защиту главной страницы обошли через забытый тестовый адрес testing.perplexity.com.

Самым мягким назвали Claude in Chrome — это расширение, а не браузер, поэтому одно расширение попросту злоупотребляло другим. Anthropic присвоила уязвимости среднюю степень и выплатила вознаграждение. Труднее всего далась Edge: Microsoft уже пыталась блокировать приём, и исследователям пришлось совместить захват маркетинговой страницы с гонкой состояний, переключавшей агента между режимами «думать» и «действовать». Легче всего оказалась Opera Neon, где команды проходили прямо через opera.com.

Что с исправлениями

Официальные CVE получили лишь два случая: CVE-2026-0628 (оценка 8,8, закрыт в Chrome 143.0.7499.192 ещё в начале января 2026 года; изначально описан как GlicJack) и CVE-2026-55945 в Edge (оценка 4,2, исправлен 2 июля в версии 150.0.4078.48). Находки по Comet, Opera Neon и Claude идентификаторов не получили. Всего за пять продуктов Forever Security заработала около 20 тысяч долларов на программах bug bounty.

Важная оговорка: все пять сценариев — исследовательские демонстрации, а не реальные атаки. Каждый требует, чтобы вредоносное расширение уже работало в браузере жертвы, — та же отправная точка, что и у множества других браузерных атак. На 16 сентября 2026 года ни одна из уязвимостей не числилась в каталоге эксплуатируемых уязвимостей CISA.

Общий вывод исследователей: помещая ИИ-агента внутрь браузера, разработчики заново открывают путь, который браузеры годами старались закрыть, — от низкопривилегированного расширения к высокопривилегированной части браузера.

Источник: The Hacker News