Comment le navigateur BragJack agit-il pour l'intelligence artificielle ?

Catégorie: Cybersécurité · Intelligence artificielle Süresi Septembre 2026 Tahmini Temps de lecture estimé: ~7 minuk a

Un seul plugin navigateur, cinq assistants AI différents. Pour toujours chercheur de sécurité Gal Weizman a montré qu'avec la technique de BragJack, qui a annoncé le 16 Septembre 2026, Chrome, Edge, Opera Neon, Perplexity Comet et Claude dans les assistants Chrome peuvent être capturés. La recherche a apporté le prix dépassant deux CVE et 20 mille dollars. Cet article décrit comment fonctionne l'attaque, quelles données sont en danger et ce que les utilisateurs devraient faire.

Qu'est-ce que l'attaque de BragJack et comment ça s'est passé ?

BragJack est une technique d'attaque basée sur un seul plugin malveillant, déjà installé dans le navigateur de la victime, héritant assistant d'intelligence artificielle intégré dans le navigateur. Proof of concept was run in five Chrome-based environment: Chrome Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon et Anthropic Claude dans le plugin Chrome. Le même plugin manifesteu se traduit dans tous les navigateurs avec des règles spéciales.

Selon les nouvelles publiées dans BleepingComputer La recherche a gagné plus de 20 000 dollars au total, allant de cinq fournisseurs à 600 à 7 000 dollars et a donné lieu à deux numéros CVE. Le plugin n'a pas besoin d'interaction utilisateur pour la progression de l'attaque une fois installé. Il n'était pas partagé que la nature sauvage est utilisée dans la nature. Google et Microsoft ont fermé les ouvertures qui leur ont été assignées.

Comment séparer le cerveau et la taille du navigateur?

Weizman parle de deux parties des assistants intégrés dans le navigateur. Le cerveau est le côté modèle, qui décide de travailler l'instruction et ce qu'il faut faire. Le corps est un composant privilégié du navigateur qui accède aux onglets, lit le contenu de la page, affiche la zone d'image et interagit avec les sites. Le corps dépend des instructions du cerveau.

Le problème commence ici. Add-ons peut changer le trafic et les pages que ce composant privilégié est fiable. Dans l'article technique de Weizman L'attaque est basée sur la caractéristique de Chrome declarativeNetRequest (DNR). DNR permet de modifier la façon dont les requêtes réseau sont traitées, modifier les en-têtes de réponse et rediriger les ressources. Cette fonctionnalité, le moteur des bloqueurs d'annonces, rompt pour imiter le nom de domaine que l'assistant travaille dans les mains d'un plugin malveillant.

Dans Chrome, par exemple, les add-ons peuvent toucher directement au composant exclusif, Google ne pouvait pas injecter le script sur le site Gemini. Les règles DNR ont permis de saisir les requêtes de l'application Gemini intégrée. Les en-têtes de sécurité sont affaiblis et une source JavaScript est dirigée, le code travaillé dans le contexte de Gemini. Retour à l'assistant des navigateurs Compétences Chrome Lorsqu'elle se fixe avec des caractéristiques, la surface d'attaque s'étend aussi rapidement.

Différence entre l'injection rapide et l'injection rapide

La méthode utilisée par Weizman pour hériter des agents s'appelle Prompt Forcing. L'attaquant dans l'injection rapide classique essaie de compressionr l'instruction cachée dans un contenu que le modèle sera déjà lu. La rétention sonaire dépend du modèle pour avaler cette instruction. La force rapide saute complètement cette étape.

Voici une invitation complète à l'agent agressif et des instructions directes de derrière. L'agent les traduit également en actions légitimes du navigateur avec leur autorité existante. Le modèle n'est pas du sang, le modèle n'est pas convaincu; le modèle ne fait que le travail qui lui est donné.

La difficulté pour la défense est née ici. La dernière action n'est pas un malware classique, mais l'utilisateur effectue un logiciel légitime sur son navigateur. Il n'y a aucun signe, aucun processus suspect ou une charge connue qui captera les outils de fin de course. Modèle de menace, modèles d'intelligence artificielle nuisibles Accueil La direction opposée de la discussion est en mouvement: pas un modèle malveillant, mais un bon agent intentionnel est utilisé.

Quels navigateurs et assistants sont touchés?

Chacun des cinq environnements est tombé avec des chaînes différentes, avec la même logique. Parmi les noms de domaine auxquels l'assistant fait confiance du côté Comet, un nom de domaine de test n'a pas reçu les mêmes protections avec le principal site perplexity.ai. Il a pu injecter le script à l'intérieur lorsqu'il a été retiré avec le routeur DNR au nom du champ. Dans Edge, Microsoft divise son agent en modes Think and Do, ce qui distingue la capacité de prendre des instructions et d'agir; Weizman a trouvé une condition de course qui désactive la restriction pendant peu de temps. Enregistrement de sécurité de Microsoft CVE-2026-55945 numéro a été donné à cette condition de course.

Deux noms dans la liste sont également familiers à l'utilisateur en Turquie. IA Perplexity Basé avec Comet plugin Claude AI ChromeLes flux quotidiens de recherche et de synthèse sont inclus. Claude dans Chrome lui-même n'est pas un navigateur, il fonctionne comme un plugin; c'est-à-dire à la fois la cible et la surface d'attaque sont dans la couche de plugin.

Que peut faire Saldurgan avec Assistant?

L'accès obtenu dans la chaîne Chrome était suffisant pour lire les fichiers locaux, atteindre le contenu Web et obtenir une capture d'écran. Selon Weizman, le même accès peut s'étendre à la caméra et au microphone du navigateur. Google a donné le numéro CVE-2026-0628 et payé 7 000 $.

La table en agents est plus lourde. Les agents de Comet et Opera Neon non seulement lisent les pages, il est également capable de traiter sur les sites. Weizman a visité Perplexity à l'agent qu'il avait engagé et a résumé les courriels de la victime, et le résultat a montré le scénario qu'il avait envoyé à une autre adresse. L'historique de la numérisation, les captures d'écran et les fichiers locaux figuraient également parmi les données consultées.

Le côté échelle est également parlé. Selon les nouvelles publiées dans Dark Reading Weizman dit qu'un de ces cinq navigateurs est à risque de centaines de millions de personnes utilisant au moins un plugin. L'action malveillante aggrave la table pour se produire sur les comptes enregistrés: l'agent considère travailler dans des services tels que Gmail ou calendrier, où l'utilisateur a déjà entré.

Comment les utilisateurs peuvent-ils se protéger?

Gardez la première étape à jour navigateur. Google et Microsoft sont protégés contre deux chaînes d'utilisateurs travaillant dans la version actuelle, alors qu'ils ferment l'ouverture qui leur est assignée. Les scanners d'intelligence artificielle et les plugins d'assistant doivent être conservés dans la dernière version.

Deuxième étape nettoyage du plugin. Les plugins inconnus ou non utilisés doivent être supprimés. Lors de l'installation, lisez et modifiez vos données sur tous les sites Web doivent être approchés à la permission de « lire et changer » ; l'accès grand nom de domaine sur lequel l'attaque est basée est exactement cette autorisation. Il convient de noter que l'autorisation au niveau de la publicité est suffisante pour ce poste.

Les recommandations du côté des entreprises sont plus concrètes. Selon les nouvelles publiées dans Cyber Security News L'application de liste blanche add-on des équipes de défense et le nom de domaine large doit restreindre les permissions DNR. L'examen de l'accès au Debugger, le fichier source du navigateur, le microphone, la caméra et l'accès au courriel sont également parmi les recommandations.

Où l'agent Scanner arrête la sécurité sur Race ?

BragJack n'est pas apparu seul. Weizman a trouvé la même erreur dans Chrome pendant sa tâche à Palo Alto Networks, après l'unité 42 bulguyu Google répandu le 2 Mars 2026. Il s'appelait GlicJack. BragJack est né avec le contrôle de la répétition de la même erreur architecturale chez d'autres agents et la réponse est oui dans cinq environnements.

Alors que les navigateurs vont juste être les applications qui montrent les pages et l'amélioration des fichiers, l'affichage et la transformation en agents conviviaux, l'écosystème plugin continue à travailler avec des hypothèses de confiance dépassées. Un plugin qui ne peut voir que le contenu Web devient traditionnellement une façon qui va à l'ensemble de ces capacités dans certains modèles.

Le problème de la limitation des agents d'intelligence artificielle se répète dans différents formats. Intelligence artificielle cybersécurité tests Accueil En août 2026, les cas où les modèles sont isolés de l'environnement isolé et s'étendent aux services réels ont été discutés. L'agent de BragJack ne dépasse pas la limite par sa propre décision, est guidé de l'extérieur de la frontière. Le point commun est la croissance rapide du mécanisme de contrôle de l'autorisation donnée à l'agent.

Foire aux questions

Qu'est-ce que BragJack Attack?

BragJack est une technique d'attaque qui permet à un seul plugin malveillant installé dans le navigateur de la victime de hériter d'un assistant d'intelligence artificielle intégré dans le navigateur. Le chercheur Forever Security a été annoncé le 16 septembre 2026 par Gal Weizman. Preuve de concept a été exécuté sur Chrome, Edge, Opera Neon, Perplexity Comet et Claude dans Chrome.

Qu'est-ce que la force rapide et quelle est la différence par rapport à l'injection rapide?

Prompt Forcing est une instruction complète et continue à l'agent d'intelligence artificielle de l'agresseur. L'instruction d'injection rapide se cache dans le contenu que le modèle sera lu. Il n'y a pas d'étape pour se cacher dans Prompt Forcing, l'agent implémente le travail donné par sa propre autorité et il n'y a pas de code nuisible au milieu.

Il est éteint ?

Google et Microsoft ont fermé les ouvertures qui leur ont été assignées. La conclusion sur le côté Chrome CVE-2026-0628 a reçu le numéro CVE-2026-55945 tandis que le statut de course sur le côté Edge. Comète, Opera Neon et Claude dans les chaînes Chrome n'ont pas été données séparément, les résultats ont été signalés aux vendeurs et payé le prix.

Que faut-il pour que l'attaque se produise?

Le plugin malveillant doit déjà être installé dans le navigateur de la victime. Le plugin n'appelle pas l'interaction utilisateur pour la progression de l'attaque une fois installé. Les autorisations utilisées ne sont pas exotiques, mais l'accès grand nom de domaine et l'autorité d'édition de règles de réseau vu dans les bloqueurs de publicité est suffisant.

La nature sauvage a-t-elle souffert de cette attaque ?

Les chercheurs n'ont pas détecté une véritable attaque, l'étude a été publiée comme preuve de concept. Encore une fois, un des cinq navigateurs est indiqué que des centaines de millions de personnes qui utilisent avec au moins un plugin sont sous risque théorique. Les deux premières étapes ont recommandé de mettre à jour le navigateur et de supprimer les plugins inconnus.

L'autorité des assistants intégrés dans le navigateur est aussi robuste qu'il fait confiance à son assistant dans le domaine qu'il travaille. BragJack a montré que cette confiance peut être enveloppée avec une autorisation au niveau du bloqueur d'annonces. Cinq vendeurs semblent également exécuter le patch et le côté prix rapidement, mais l'architecture elle-même est au même endroit. La course de navigateur mandataire sera vue dans les prochains mois où des chaînes similaires seront trouvées pour plusieurs fois.