Нова техника за атака, наречена „BragJack“, позволява на злонамерено разширение за браузър да превземе доверените комуникационни канали, използвани от AI асистенти в Chrome, Edge, Opera Neon, Comet и Claude в Chrome.
Вместо да заобикалят защитните ограничения на модела или да крият инструкции в уеб съдържанието, концептуалните атаки директно подават команди към привилегировани компоненти на браузъра, превръщайки асистента в инструмент за кражба и неразрешени действия.
Изследователят от Forever Security Гал Вайзман (Gal Weizman) демонстрира техниката във всичките пет Chromium-базирани среди с помощта на едно разширение със специфични за всеки браузър правила.
Разширението използва предимно скриптове за съдържание (content scripts) и API-то declarativeNetRequest (DNR), което може да модифицира мрежовия трафик. Обикновено използвани от блокери на реклами, тези възможности помогнаха на недоверен код да премине в привилегированата управляваща среда на изкуствения интелект.
Според изследването, публикувано от Forever Security, слабостта се крие в архитектурата, свързваща AI „мозъка“, хостван на уебсайт на доставчика, с мощно „тяло“ вътре в браузъра.
Тялото може да инспектира страници или да управлява уебсайтове, докато доверен уеб източник (origin) доставя инструкции. Чрез манипулиране на този доверен източник или на страница, оторизирана да комуникира с агента, зловредното разширение може да издава свои собствени инструкции, сякаш идват от доставчика на браузъра.
Изследователите наричат този подход „принудителни подкани“ (prompt forcing), за да го разграничат от инжектирането на подкани (prompt injection). При prompt injection враждебните инструкции са внедрени в съдържанието, което моделът обработва.
BragJack дава на атакуващия пълен контрол върху подканата, нейното време за изпълнение и последващите команди. Той злоупотребява с доверието в оторизацията и комуникационния канал, преди AI да оцени намерението, така че филтрите за безопасност на ниво модел не могат да коригират пробива в изолацията.
Внедряването на Gemini в Chrome блокира инжектирането на скриптове за съдържание в своето вградено уеб приложение, но не успя да спре правилата на DNR да прихващат ресурси, заредени в привилегирования WebView.
Изследователите замениха легитимен JavaScript ресурс и изпълниха код в доверения контекст на Gemini, получавайки възможност да четат локални файлове, да правят екранни снимки, да разкриват профилна информация и да активират камерата или микрофона.
Google заведе този проблем с висока степен на сериозност като CVE-2026-0628, с оценка 8.8, и отстрани уязвимостта в Chrome 143.0.7499.192/.193.
Comet претърпя най-широко въздействие. Неговият вграден агент се довери на няколко Perplexity източника, включително незащитен тестов домейн.
Разширението премахна хедъра за пренасочване на този домейн, инжектира скрипт за съдържание и комуникира директно с агента, осигурявайки достъп до историята на браузване, правене на екранни снимки, изтичане на профилна информация, четене на локални файлове и автономна активност в автентифицирани уебсайтове.
В Opera Neon кодът, работещ на opera.com, може да изпраща произволни подкани към агента.
При Microsoft Edge бе необходима по-сложна верига. Маркетингова страница на Microsoft можеше да поставя подкани в Copilot, докато отделните режими „Think“ и „Do“ държаха приемането на подкани отделено от действията на браузъра.
Изследователите заобиколиха ограниченията за рамкиране и се възползваха от уязвимост от тип „състезание за ресурси“ (race condition) чрез превключване на режимите в точния момент, карайки агента да изпълни принудителна подкана. Microsoft заведе уязвимостта като CVE-2026-55945 – състезание за ресурси със средна степен на сериозност, засягащо версии на Edge преди 150.0.4078.48.
Claude в Chrome беше случай на конфликт между разширения („разширение срещу разширение“), а не компрометиране на самия браузър. Изследователите злоупотребиха с маркетингова страница на Claude, имаща право да предава подкани към страничния панел, след което генерираха очакваните привилегии на дебъгер през потребителски кликвания.
Избрани от атакуващия инструкции след това можеха да управляват действията на Claude, показвайки как едно разширение може да подкопае друго чрез открити привилегировани комуникационни интерфейси.
Първо трябваше да бъде инсталирано зловредно разширение, така че „zero click“ описва експлоатация след инсталация, а не компрометиране през интернет без предварително потребителско действие. Изследователите не съобщават за реални атаки; доставчиците платиха общо около 20 000 долара под формата на възнаграждения.
Организациите трябва незабавно да обновят Chrome и Edge, да поддържат браузърите и асистентите с AI актуални и да премахнат ненужните разширения.
Корпоративните специалисти по защита трябва да наложат списъци с разрешени разширения (allowlists), да ограничат широките разрешения за хостове и DNR, внимателно да проверяват достъпа до дебъгера и да наблюдават за необичаен достъп през браузъра до файлове, микрофони, камери, електронна поща и автентифицирани приложения.
Екипите по сигурност трябва също така да третират активността на AI агентите като отделен източник на телеметрия, съпоставяйки подканите и действията в браузъра с логовете за самоличност, достъп до данни и мрежа, за да идентифицират доверен софтуер, който се държи извън очакваните модели на работа на потребителя.
По-големият урок от BragJack е, че AI агентите се нуждаят от строга валидация на произхода (origin), най-ниски привилегии, изолирани канали за команди, изрично потвърждение за чувствителни действия и одитни дневници, които екипите по сигурност да могат да инспектират.