¿Cómo funciona BragJack Browser Work Artificial Intelligence Attack?

Categoría: Seguridad cibernética · Inteligencia Artificial Süresi Septiembre 2026 Tahmini Tiempo estimado de lectura: ~7 minik a

Un plugin de navegador único, cinco asistentes de inteligencia artificial diferentes. Para siempre el investigador de seguridad Gal Weizman mostró que con la técnica BragJack, que anunció el 16 septiembre 2026, Chrome, Edge, Opera Neon, Perplexity Comet y Claude en los asistentes de Chrome se puede capturar. La investigación trajo el premio más de dos CVE y 20 mil dólares. Este artículo describe cómo funciona el ataque, qué datos están bajo riesgo y qué usuarios deben hacer.

¿Qué es el ataque BragJack y cómo ha salido?

BragJack es una técnica de ataque basada en un solo plugin malicioso, ya instalado en el navegador de la víctima, heredando asistente de inteligencia artificial incrustado en el navegador. Prueba de concepto se ejecutó en cinco ambiente basado en cromo: Gemini en vivo de Chrome, Perplexity Comet, Microsoft Edge, Opera Neon y Anthropic Claude en plugin de Chrome. El mismo plugin manifestosu resulta en todo el navegador con reglas especiales.

Según las noticias publicadas en BleepingComputer La investigación ha ganado más de 20.000 dólares en total, desde cinco proveedores hasta 600 a 7.000 dólares y ha resultado en dos números CVE. El plugin no necesita interacción del usuario para el progreso del ataque una vez instalado. No se compartió que el salvaje se utiliza en la naturaleza. Google y Microsoft cerraron las aberturas asignadas a ellos.

Cómo separar el cerebro y el tamaño del navegador?

Weizman habla de dos partes de los asistentes incrustados en el navegador. El cerebro es el lado modelo, que decide trabajar la instrucción y qué hacer. El cuerpo es un componente privilegiado del navegador que accede a las pestañas, lee el contenido de la página, muestra el área de imagen e interactúa con los sitios. El cuerpo depende de las instrucciones del cerebro.

El problema comienza aquí. Los complementos pueden cambiar el tráfico y las páginas en las que se confía este componente privilegiado. En el artículo técnico de Weizman El ataque se basa en la característica de Chromium declarativeNetRequest (DNR). DNR permite cambiar cómo se procesan las solicitudes de red, editar encabezados de respuesta y redirigir recursos. Esta característica, el motor de ad blockers, rompe para imitar el nombre de dominio que el asistente trabaja en las manos de un plugin malicioso.

En Chrome, por ejemplo, add-ons no puede tocar directamente al componente exclusivo, Google no pudo inyectar script en el sitio Gemini. Las reglas DNR fueron capaces de capturar las solicitudes de aplicación Gemini incrustada. Los encabezados de seguridad se debilitan y se dirige una fuente de JavaScript, el código trabajado en el contexto de Gemini. Volver al asistente de los navegadores Habilidades de Chrome Cuando ayuna con características, la superficie de ataque también se expande rápidamente.

Difference Between Prompt Forcing and Prompt Injection

El método que usamos para heredar agentes se llama Forcing Prompt. El atacante en la inyección de impulso clásico intenta compresión instrucción oculta en un contenido que el modelo ya será leído. La retención sonora depende del modelo para tragar esa instrucción. Prompt Forcing salta este paso completamente.

Aquí está un completo impulso al agente agresivo y las instrucciones directas desde atrás. El agente también los traduce en acciones legítimas del navegador con su autoridad existente. El modelo no es sangre, el modelo no está convencido; el modelo sólo está haciendo el trabajo que se le da.

La dificultad para la defensa nace aquí. La última acción no es un malware clásico, pero el usuario realiza software legítimo en su navegador. No hay señal, proceso sospechoso o una carga conocida que capturará herramientas de punto final. Modelo de amenaza, nocivos modelos de inteligencia artificial La dirección opuesta de la discusión se mueve: no un modelo malicioso, pero se utiliza un buen agente intencional.

¿Qué navegadores y auxiliares están afectados?

Cada uno de los cinco ambientes cayó con diferentes cadenas, con la misma lógica. Entre los nombres de dominio que el asistente confía en el lado Comet, un nombre de dominio de prueba no ha recibido las mismas protecciones con el sitio principal perplexity.ai. Fue capaz de inyectar el script dentro cuando fue retirado con el router DNR en nombre del campo. En Edge, Microsoft divide su agente en modos Think and Do, que distingue la capacidad de tomar instrucciones y acciones; Weizman encontró una condición de raza que deshabilita la restricción por corto tiempo. Registro de seguridad de Microsoft CVE-2026-55945 número se dio a esta condición de carrera.

Dos nombres en la lista también son familiares al usuario en Turquía. Perplexity AI Basado en Comet Claude AI Chrome pluginSe incluyen las corrientes diarias de investigación y resumen. Claude en Chrome en sí no es un navegador, funciona como un plugin; es decir, tanto el objetivo y la superficie de ataque están en la capa de plugin.

¿Qué puede hacer Saldurgan con el Asistente?

El acceso obtenido en la cadena Chrome fue suficiente para leer archivos locales, alcanzar contenido web y obtener captura de pantalla. Según Weizman, el mismo acceso puede extenderse a la cámara y el micrófono del navegador. Google ha dado el número CVE-2026-0628 y pagado $7.000.

La mesa en agentes es más pesada. Agentes en Comet y Opera Neon no sólo leer las páginas, también es capaz de procesar en sitios. Weizman visitó Perplexity al agente que había contratado y resumió los correos electrónicos de la víctima, y el resultado mostró el escenario que envió a otra dirección. Historial del escáner, capturas de pantalla y archivos locales también estaban entre los datos accedidos.

También se habla el lado de la escala. Según las noticias publicadas en Dark Reading Weizman dice que uno de estos cinco navegadores está en riesgo de cientos de millones de personas usando al menos un plugin. La acción maliciosa agrava la tabla para ocurrir en las cuentas registradas: el agente considera trabajo en servicios como Gmail o calendario, donde el usuario ya entró.

¿Cómo pueden protegerse los usuarios?

Mantenga el primer paso hasta el navegador fechado. Google y Microsoft están protegidos contra dos cadenas de usuarios que trabajan en la versión actual, ya que cierran el abierto asignado a ellos. Los escáneres de inteligencia artificial y los plugins auxiliares deben mantenerse en la última versión.

Segundo paso de limpieza plugin. Los plugins desconocidos o ya no utilizados deben ser eliminados. Durante la instalación, leer y modificar sus datos en todos los sitios web se debe acercar al permiso de "leer y cambiar"; el gran acceso de nombre de dominio en el que se basa el ataque es exactamente este permiso. Cabe señalar que la autorización en el nivel de ad blocker es suficiente para este trabajo.

Las recomendaciones del lado empresarial son más concretas. Según las noticias publicadas en Cyber Security News La aplicación de lista blanca adicional de los equipos de defensa y el nombre de dominio amplio necesita restringir los permisos DNR. Revisión de acceso Debugger, archivo fuente de navegador, micrófono, cámara y acceso a correo electrónico también están entre recomendaciones.

¿Dónde está el agente Scanner Stop Security on Race?

BragJack no apareció solo. Weizman encontró el mismo error en Chrome durante su tarea en Palo Alto Networks, después de la unidad 42 bulguyu Google se extendió el 2 de marzo de 2026. Se llamaba GlicJack. BragJack nació con el control de si el mismo error arquitectónico se repite en otros agentes y la respuesta es sí en cinco ambientes.

Mientras que los navegadores sólo van a ser las aplicaciones que muestran páginas y mejora de archivos, mostrando y convirtiéndose en agentes fáciles de usar, el ecosistema plugin sigue trabajando con supuestos de confianza obsoletos. Un plugin que sólo puede ver el contenido web tradicionalmente se convierte en una manera que va a la totalidad de estas capacidades en algunos diseños.

El problema de limitar los agentes de inteligencia artificial se repite en diferentes formatos. Pruebas de seguridad cibernética de inteligencia artificial Inicio Durante agosto de 2026 se discutieron casos en los que los modelos están aislados del entorno aislado y se extienden a los servicios reales. El agente de BragJack no excede el límite con su propia decisión, se guía desde el exterior de la frontera. El punto común es el rápido crecimiento del mecanismo de control de la autorización dada al agente.

Preguntas frecuentes

¿Qué es BragJack Attack?

BragJack es una técnica de ataque que permite un único plugin malicioso instalado en el navegador de la víctima para heredar asistente de inteligencia artificial incrustado en el navegador. Forever Security researcher fue anunciado en Septiembre 16, 2026 por Gal Weizman. Prueba de concepto se ejecutó en Chrome, Edge, Opera Neon, Perplexity Comet y Claude en Chrome.

¿Qué es el Forcing rápido y cuál es la diferencia de la inyección rápida?

Prompt Forcing es una instrucción completa y continua al agente de inteligencia artificial del atacante. La instrucción en inyección rápida se oculta en el contenido que el modelo será leído. No hay paso para esconderse en Prompt Forcing, el agente implementa el trabajo dado por su propia autoridad y no hay código dañino en el medio.

¿Está apagado?

Google y Microsoft cerraron las aberturas asignadas a ellos. El hallazgo en el lado Chrome CVE-2026-0628 recibió el número CVE-2026-55945 mientras que el estado de carrera en el lado Edge. Comet, Opera Neon y Claude en cadenas de Chrome no se dieron por separado, los hallazgos fueron reportados a los proveedores y pagaron el premio.

¿Qué es necesario para la ocurrencia del ataque?

El plugin malicioso necesita ser instalado ya en el navegador de la víctima. El plugin no llama interacción del usuario para el progreso del ataque una vez instalado. Las autorizaciones utilizadas no son exóticas, pero la gran autoridad de edición de nombres de dominio y regla de red vista en los bloqueadores de anuncios es suficiente.

¿La naturaleza salvaje sufrió este ataque?

Los investigadores no detectaron un ataque real, el estudio fue publicado como evidencia de concepto. Una vez más, uno de los cinco navegadores se indica que cientos de millones de personas que usan con al menos un plugin están bajo riesgo teórico. Los dos primeros pasos recomendados para actualizar el navegador y eliminar plugins desconocidos.

La autoridad de los asistentes incrustados en el navegador es tan robusta como confía en su asistente al dominio que trabaja. BragJack mostró que esta confianza puede ser envuelta con un permiso en el nivel de ad blocker. Cinco vendedores también parecen correr el lado del parche y el premio rápidamente, pero la arquitectura misma se encuentra en el mismo lugar. La carrera del navegador agenteizado se verá en los próximos meses donde se encontrarán cadenas similares por varias veces.