Wie funktioniert BragJack Browser Arbeit Künstliche Intelligenz Angriff?

Künstliche Intelligenz Süresi September 2026 Tahmini Geschätzte Lesezeit: ~7 minik a

Ein einziges Browser-Plugin, fünf verschiedene KI-Assistenten. Forever Security-Forscher Gal Weizman zeigte, dass mit der BragJack-Technik, die am 16. September 2026 angekündigt wurde, Chrome, Edge, Opera Neon, Perplexity Comet und Claude in Chrome-Assistenten eingefangen werden können. Die Forschung brachte den Preis über zwei CVE und 20 Tausend Dollar. Dieser Artikel beschreibt, wie der Angriff funktioniert, welche Daten gefährdet sind und was Benutzer tun sollten.

Was ist BragJack Attack und wie hat es sich entwickelt?

BragJack ist eine Angriffstechnik, die auf einem einzigen bösartigen Plugin basiert, das bereits im Browser des Opfers installiert ist und einen im Browser eingebetteten Assistenten für künstliche Intelligenz erbt. Der Proof of Concept wurde in fünf Chrom-basierten Umgebungen ausgeführt: Chromes Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon und Anthropics Claude in Chrome Plugin. Das gleiche Plugin-Manifest führt zu allen Browsern mit speziellen Regeln.

Nach den Nachrichten in BleepingComputer veröffentlicht Die Forschung hat insgesamt über 20.000 Dollar gewonnen, von fünf Anbietern über 600 bis 7.000 Dollar und führte zu zwei CVE-Nummern. Das Plugin benötigt keine Benutzerinteraktion für den Fortschritt des einmal installierten Angriffs. Es wurde nicht geteilt, dass die Wildnis in der Natur verwendet wird. Google und Microsoft schlossen die ihnen zugeordneten Öffnungen.

Wie trennt man das Gehirn und die Größe des Browsers?

Weizman spricht über zwei Teile der im Browser eingebetteten Assistenten. Das Gehirn ist die Modellseite, die entscheidet, die Anweisung zu bearbeiten und was zu tun ist. Der Körper ist eine privilegierte Browserkomponente, die auf Registerkarten zugreift, Seiteninhalte liest, Bildbereiche anzeigt und mit Websites interagiert. Der Körper verlässt sich auf Anweisungen des Gehirns.

Das Problem beginnt hier. Add-ons können den Traffic und die Seiten ändern, denen diese privilegierte Komponente vertraut. Im technischen Artikel von Weizman Der Angriff basiert auf der Funktion von Chromium declarativeNetRequest (DNR). DNR ermöglicht es, die Verarbeitung von Netzwerkanforderungen zu ändern, Antwort-Header zu bearbeiten und Ressourcen umzuleiten. Diese Funktion, der Motor von Werbeblockern, ahmt den Domainnamen nach, den der Assistent in den Händen eines bösartigen Plugins arbeitet.

In Chrome zum Beispiel können Add-Ons die exklusive Komponente nicht direkt berühren, Google konnte kein Skript in die Gemini-Site einfügen. DNR-Regeln konnten die Anforderungen der eingebetteten Gemini-Anwendung erfassen. Sicherheits-Header werden geschwächt und eine JavaScript-Quelle wird geleitet, der Code arbeitete im Kontext von Gemini. Zurück zum Assistenten von Browsern Chrome Fähigkeiten Beim Befestigen mit Features dehnt sich auch die Angriffsfläche schnell aus.

Unterschied zwischen Prompt Forcing und Prompt Injection

Die Methode, die Weizman verwendet, um Agenten zu erben, heißt Prompt Forcing. Der Angreifer versucht in der klassischen Soforteinspritzung, versteckte Anweisungen in einen Inhalt zu komprimieren, den das Modell bereits lesen wird. Die Sonarbindung hängt vom Modell ab, um diese Anweisung zu schlucken. Prompt Forcing überspringt diesen Schritt vollständig.

Hier ist eine vollständige Aufforderung an den aggressiven Agenten und direkte Anweisungen von hinten. Der Agent übersetzt sie auch in legitime Browseraktionen mit ihrer bestehenden Autorität. Das Modell ist nicht Blut, das Modell ist nicht überzeugt; das Modell macht nur die Arbeit, die ihm gegeben wurde.

Die Schwierigkeit für die Verteidigungsseite ist hier geboren. Die letzte Aktion ist keine klassische Malware, aber der Benutzer führt legitime Software auf seinem Browser aus. Es gibt kein Zeichen, keinen verdächtigen Prozess oder eine bekannte Last, die Endpunktwerkzeuge erfasst. Bedrohungsmodell, schädliche künstliche Intelligenz Modelle Home Die entgegengesetzte Richtung der Diskussion bewegt sich: kein bösartiges Modell, sondern ein guter absichtlicher Agent wird verwendet.

Welche Browser und Assistenten sind betroffen?

Jede der fünf Umgebungen fiel mit verschiedenen Ketten, mit der gleichen Logik. Unter den Domänennamen, denen der Assistent auf der Kometenseite vertraut, hat ein Testdomänenname nicht den gleichen Schutz wie die Hauptseite perplexity.ai erhalten. Er war in der Lage, das Skript einzufügen, wenn er mit dem Router DNR im Namen des Feldes entfernt wurde. In Edge unterteilt Microsoft seinen Agenten in Denk- und Do-Modi, was die Fähigkeit unterscheidet, Anweisungen und Maßnahmen zu ergreifen; Weizman fand eine Rassebedingung, die die Einschränkung für kurze Zeit deaktiviert. Sicherheitsaufzeichnung von Microsoft CVE-2026-55945 Nummer wurde zu diesem Rennen Bedingung gegeben.

Zwei Namen in der Liste sind dem Benutzer auch in der Türkei bekannt. Perplexity Basierend auf Komet Claude AI Chrome PluginDie täglichen Forschungs- und Zusammenfassungsströme sind enthalten. Claude in Chrome selbst ist kein Browser, es funktioniert als Plugin; d.h. sowohl das Ziel als auch die Angriffsfläche befinden sich in der Plugin-Ebene.

Was kann Saldurgan mit einem Assistenten tun?

Der Zugriff in der Chrome-Kette reichte aus, um lokale Dateien zu lesen, Webinhalte zu erreichen und einen Screenshot zu erhalten. Laut Weizman kann sich der gleiche Zugriff auf die Kamera und das Mikrofon des Browsers erstrecken. Google hat die CVE-2026-0628-Nummer angegeben und $ 7.000 bezahlt.

Der Tisch in Agenten ist schwerer. Agenten in Comet und Opera Neon lesen nicht nur die Seiten, es ist auch in der Lage, auf Websites zu verarbeiten. Weizman besuchte Perplexity zu dem Agenten, den er engagiert hatte, und fasste die E-Mails des Opfers zusammen, und das Ergebnis zeigte das Szenario, das er an eine andere Adresse schickte. Scan-Historie, Screenshots und lokale Dateien waren auch unter den Daten zugegriffen.

Auch die Skalenseite wird gesprochen. Nach den in Dark Reading veröffentlichten Nachrichten Weizman sagt, dass einer dieser fünf Browser gefährdet ist, dass Hunderte von Millionen Menschen mindestens ein Plugin verwenden. Die bösartige Aktion verschlimmert die Tabelle auf den protokollierten Konten: Der Agent betrachtet die Arbeit in Diensten wie Gmail oder Kalender, in denen der Benutzer bereits eingegeben hat.

Wie können sich Nutzer schützen?

Halten Sie den ersten Schritt auf dem neuesten Browser. Google und Microsoft sind gegen zwei Ketten von Benutzern geschützt, die in der aktuellen Version arbeiten, da sie das ihnen zugewiesene Öffnen schließen. Künstliche Intelligenz unterstützte Scanner und Assistenten-Plugins müssen in der letzten Version beibehalten werden.

Zweiter Schritt Plugin Reinigung. Unbekannte oder nicht mehr verwendete Plugins sollten entfernt werden. Während der Installation sollten Sie Ihre Daten auf allen Websites lesen und ändern, um die Berechtigung "lesen und ändern" zu erhalten; der große Domain-Namen-Zugriff, auf dem der Angriff basiert, ist genau diese Berechtigung. Es sollte beachtet werden, dass die Autorisierung auf der Ad-Blocker-Ebene für diesen Job ausreicht.

Empfehlungen auf der Unternehmensseite sind konkreter. Laut den in Cyber Security News veröffentlichten Nachrichten Die Zusatz-Whitelist-Anwendung von Verteidigungsteams und der breite Domainname müssen die DNR-Berechtigungen einschränken. Die Überprüfung des Debugger-Zugriffs, der Browser-Datei, des Mikrofons, der Kamera und des E-Mail-Zugriffs gehören ebenfalls zu den Empfehlungen.

Wo stoppt Agent Scanner die Sicherheit im Rennen?

BragJack erschien nicht allein. Weizman fand den gleichen Fehler in Chrome während seiner Aufgabe bei Palo Alto Networks, nachdem sich die Einheit 42 Google am 2. März 2026 verbreitet hatte. Er hieß GlicJack. BragJack wurde mit der Kontrolle geboren, ob sich derselbe architektonische Fehler in anderen Agenten wiederholt, und die Antwort lautet ja in fünf Umgebungen.

Während Browser nur die Apps sein werden, die Seiten anzeigen und Dateien verbessern, anzeigen und zu benutzerfreundlichen Agenten werden, arbeitet das Plugin-Ökosystem weiterhin mit veralteten Vertrauensannahmen. Ein Plugin, das nur Webinhalte sehen kann, wird traditionell zu einem Weg, der in einigen Designs auf alle diese Funktionen abzielt.

Das Problem der Einschränkung von Agenten der künstlichen Intelligenz wiederholt sich in verschiedenen Formaten. Künstliche Intelligenz Cyber Security Tests Home Im August 2026 wurden Fälle diskutiert, in denen Modelle von der isolierten Umgebung isoliert sind und sich auf tatsächliche Dienste erstrecken. Der Agent bei BragJack überschreitet die Grenze mit seiner eigenen Entscheidung nicht, wird von außerhalb der Grenze geführt. Der gemeinsame Punkt ist ein schnelles Wachstum aus dem Kontrollmechanismus der dem Agenten erteilten Autorisierung.

Häufig gestellte Fragen

Was ist BragJack Attack?

BragJack ist eine Angriffstechnik, mit der ein einzelnes bösartiges Plugin, das im Browser des Opfers installiert ist, einen im Browser eingebetteten Assistenten für künstliche Intelligenz erben kann. Forever Security Researcher wurde am 16. September 2026 von Gal Weizman angekündigt. Proof of Concept wurde auf Chrome, Edge, Opera Neon, Perplexity Comet und Claude in Chrome ausgeführt.

Was ist prompter Antrieb und was ist der Unterschied zur prompten Injektion?

Prompt Forcing ist eine vollständige sofortige und fortlaufende Anweisungen an den Agenten der künstlichen Intelligenz des Angreifers. Die Anweisung in prompter Injektion verbirgt sich im Inhalt, dass das Modell gelesen wird. Es gibt keinen Schritt, um sich in Prompt Forcing zu verstecken, der Agent implementiert die von seiner eigenen Autorität gegebene Arbeit und es gibt keinen schädlichen Code in der Mitte.

Ist es ausgeschaltet?

Google und Microsoft schlossen die ihnen zugeordneten Öffnungen. Das Ergebnis auf der Chrome-Seite CVE-2026-0628 erhielt die CVE-2026-55945-Nummer, während der Rennstatus auf der Edge-Seite. Comet, Opera Neon und Claude in Chrome-Ketten wurden nicht separat angegeben, die Ergebnisse wurden den Anbietern gemeldet und der Preis bezahlt.

Was ist für das Auftreten des Angriffs notwendig?

Das bösartige Plugin muss bereits im Browser des Opfers installiert sein. Das Plugin ruft keine Benutzerinteraktion für den Fortschritt des einmal installierten Angriffs auf. Die verwendeten Berechtigungen sind nicht exotisch, aber die große Domain-Zugriffs- und Netzwerkregelbearbeitungsautorität, die in Werbeblockern zu sehen ist, ist ausreichend.

Hat die wilde Natur unter diesem Angriff gelitten?

Die Forscher erkannten keinen wirklichen Angriff, die Studie wurde als Nachweis des Konzepts veröffentlicht. Wiederum wird einer der fünf Browser darauf hingewiesen, dass Hunderte von Millionen von Menschen, die mit mindestens einem Plugin verwenden, theoretisch gefährdet sind. Die ersten beiden Schritte empfehlen, den Browser zu aktualisieren und unbekannte Plugins zu entfernen.

Die Autorität der im Browser eingebetteten Assistenten ist so robust, wie er seinem Assistenten die Domain anvertraut, in der er arbeitet. BragJack hat gezeigt, dass dieses Vertrauen mit einer Berechtigung auf Anzeigenblockerebene gewickelt werden kann. Fünf Verkäufer scheinen auch die Patch- und Preisseite schnell zu betreiben, aber die Architektur selbst steht an der gleichen Stelle. Das agentisierte Browser-Rennen wird in den nächsten Monaten zu sehen sein, wo ähnliche Ketten für mehrere Male gefunden werden.