Как BragJack Browser работает с искусственным интеллектом?

Категория: Кибербезопасность · Искусственный интеллект Süresi Сентябрь 2026 Тахмини Расчетное время чтения: ~7 minik a

Один плагин браузера, пять различных помощников ИИ. Исследователь Forever Security Галь Вейцман показал, что с помощью техники BragJack, анонсированной 16 сентября 2026 года, можно захватить Chrome, Edge, Opera Neon, Perplexity Comet и Claude в помощниках Chrome. Исследование принесло премию, превышающую два CVE и 20 тысяч долларов. В этой статье описывается, как работает атака, какие данные находятся под угрозой и что должны делать пользователи.

Что такое BragJack Attack и как это работает?

BragJack - это техника атаки, основанная на одном вредоносном плагине, уже установленном в браузере жертвы, наследующем помощника искусственного интеллекта, встроенного в браузер. Доказательство концепции было запущено в пяти средах на основе Chromium: Gemini Live от Chrome, Perplexity Comet, Microsoft Edge, Opera Neon и Claude от Anthropic в плагине Chrome. Один и тот же плагин манифестосу приводит ко всему браузеру со специальными правилами.

Об этом сообщает издание BleepingComputer. В общей сложности исследование собрало более 20 000 долларов, от пяти поставщиков до 600-7 000 долларов и привело к двум показателям CVE. Плагин не нуждается в взаимодействии с пользователем для продвижения атаки после установки. Не принято считать, что дикая природа используется в природе. Google и Microsoft закрыли выделенные им отверстия.

Как разделить мозг и размер браузера?

Вейцман рассказывает о двух частях помощников, встроенных в браузер. Мозг — это модельная сторона, которая решает работать по инструкции и что делать. Тело является привилегированным компонентом браузера, который получает доступ к вкладкам, читает содержимое страницы, отображает область изображения и взаимодействует с сайтами. Тело полагается на инструкции мозга.

Проблема начинается здесь. Добавки могут изменять трафик и страницы, которым доверяет этот привилегированный компонент. В технической статье Вейцмана В основе атаки лежит функция Chromium declarativeNetRequest (DNR). DNR позволяет изменять обработку сетевых запросов, редактировать заголовки ответов и перенаправлять ресурсы. Эта функция, двигатель блокировщиков рекламы, ломается, чтобы имитировать доменное имя, которое помощник работает в руках вредоносного плагина.

В Chrome, например, дополнения не могут касаться непосредственно эксклюзивного компонента, Google не может вводить скрипт на сайте Gemini. Правила DNR смогли захватить запросы встроенного приложения Gemini. Заголовки безопасности ослаблены и направляется источник JavaScript, код работает в контексте Gemini. Вернуться к помощнику браузера Навыки Chrome При закреплении с признаками поверхность атаки также быстро расширяется.

Разница между быстрым принуждением и быстрым впрыском

Метод, который Вейцман использует для наследования агентов, называется ускоренным принуждением. Злоумышленник в классическом быстром введении пытается сжать скрытую инструкцию в контент, который модель уже будет читать. Сонарное удержание зависит от модели, чтобы проглотить эту инструкцию. Быстрое принуждение полностью пропускает этот шаг.

Вот полная подсказка агрессивному агенту и прямые инструкции сзади. Агент также переводит их в законные действия браузера с их существующими полномочиями. Модель не кровь, модель не убеждается; модель только делает ту работу, которую ему дают.

Трудность для оборонной стороны рождается здесь. Последнее действие не является классическим вредоносным ПО, но пользователь выполняет законное программное обеспечение в своем браузере. Нет никаких признаков, подозрительных процессов или известной нагрузки, которая будет захватывать инструменты конечных точек. Модель угрозы, Вредные модели искусственного интеллекта Home Противоположное направление дискуссии движется: используется не вредоносная модель, а добросовестный агент.

Какие браузеры и помощники затронуты?

Каждая из пяти сред падала разными цепями, с одинаковой логикой. Среди доменных имен, которым помощник доверяет на стороне кометы, тестовое доменное имя не получило такой же защиты с основным сайтом perplexity.ai. Он смог ввести скрипт внутрь при удалении с маршрутизатором DNR от имени поля. В Edge Microsoft делит своего агента на режимы Думай и Делай, что отличает способность принимать инструкции и действия; Вейцман нашел условие гонки, которое отключает ограничение на короткое время. Рекорд безопасности Microsoft Номер CVE-2026-55945 был присвоен этому гоночному условию.

Два имени в списке также знакомы пользователю в Турции. Perplexity AI Основанный на комете Claude плагин ChromeЕжедневные потоки исследований и резюме включены. Claude в самом Chrome не является браузером, он работает как плагин, т.е. как цель, так и поверхность атаки находятся в слое плагина.

Что Салдурган может сделать с помощником?

Доступа, полученного в цепочке Chrome, было достаточно для чтения локальных файлов, доступа к веб-контенту и получения скриншота. По словам Вейцмана, такой же доступ может распространяться на камеру и микрофон браузера. Google дал номер CVE-2026-0628 и заплатил $7000.

Стол у агентов тяжелее. Агенты в Comet и Opera Neon не только читают страницы, но и могут обрабатывать их на сайтах. Вейцман посетил Perplexity агенту, с которым он связался, и обобщил электронные письма жертвы, и в результате показал сценарий, который он отправил на другой адрес. История сканирования, скриншоты и локальные файлы также были среди доступных данных.

Также говорят о масштабной стороне. Об этом сообщает издание Dark Reading Вейцман говорит, что один из этих пяти браузеров находится под угрозой сотен миллионов людей, использующих хотя бы один плагин. Вредоносное действие усугубляет таблицу, возникающую на зарегистрированных учетных записях: агент рассматривает работу в таких сервисах, как Gmail или календарь, куда пользователь уже вошел.

Как пользователи могут защитить себя?

Сделайте первый шаг к обновлению браузера. Google и Microsoft защищены от двух цепочек пользователей, работающих в текущей версии. Сканеры и плагины, поддерживающие искусственный интеллект, должны быть сохранены в последней версии.

Второй этап очистки плагинов. Неизвестные или больше не используемые плагины должны быть удалены. Во время установки, чтения и изменения ваших данных на всех веб-сайтах следует обращаться к разрешению «читать и изменять»; большой доступ к доменному имени, на котором основана атака, - это именно это разрешение. Следует отметить, что авторизации на уровне блокировщика рекламы достаточно для этой работы.

Рекомендации с корпоративной стороны более конкретны. Согласно новостям, опубликованным в Cyber Security News Добавленное приложение белого списка команд защиты и широкое доменное имя должны ограничить разрешения DNR. Обзор доступа Debugger, файла с браузером, микрофона, камеры и доступа к электронной почте также являются одними из рекомендаций.

Где агент Сканнер останавливает безопасность на гонке?

Брэг Джек появился не один. Вейцман обнаружил ту же ошибку в Chrome во время своей работы в Palo Alto Networks, после того, как блок 42 bulguyu Google распространился 2 марта 2026 года. Его звали Глик Джек. БрэгДжек родился с контролем того, повторяется ли та же архитектурная ошибка у других агентов, и ответ «да» в пяти средах.

В то время как браузеры будут просто приложениями, которые показывают страницы и улучшают файлы, отображая и превращаясь в удобных для пользователя агентов, экосистема плагинов продолжает работать с устаревшими предположениями о доверии. Плагин, который может видеть только веб-контент, традиционно становится способом, который использует все эти возможности в некоторых проектах.

Проблема ограничения агентов искусственного интеллекта повторяется в разных форматах. Искусственный интеллект тестирует кибербезопасность В течение августа 2026 года обсуждались случаи, когда модели изолированы от изолированной среды и распространяются на фактические услуги. Агент в Брэгджеке не превышает лимита своим решением, ориентируется с внешней стороны границы. Общим моментом является быстрый рост от механизма контроля разрешения, данного агенту.

Часто задаваемые вопросы

Что такое атака Брэга Джека?

BragJack - это метод атаки, который позволяет одному вредоносному плагину, установленному в браузере жертвы, наследовать помощника искусственного интеллекта, встроенного в браузер. Исследователь Forever Security был анонсирован 16 сентября 2026 года Галем Вейцманом. Доказательство концепции было запущено на Chrome, Edge, Opera Neon, Perplexity Comet и Claude в Chrome.

Что такое быстрое принуждение и в чем отличие от быстрой инъекции?

Prompt Forcing - это полная оперативная и постоянная инструкция агенту искусственного интеллекта злоумышленника. Инструкция по быстрому впрыску скрывает содержание, которое будет прочитано в модели. В «Быстром принуждении» нет шага, агент выполняет работу, данную его собственным авторитетом, и в середине нет вредоносного кода.

Он выключен?

Google и Microsoft закрыли выделенные им отверстия. Находка на стороне Chrome CVE-2026-0628 получила номер CVE-2026-55945, а статус гонки на стороне Edge. Комета, Opera Neon и Claude в цепочках Chrome не были предоставлены отдельно, результаты были сообщены поставщикам и оплачены призом.

Что необходимо для возникновения приступа?

Вредоносный плагин должен быть уже установлен в браузере жертвы. Плагин не вызывает взаимодействия пользователя для продвижения атаки после установки. Используемые разрешения не являются экзотическими, но достаточно большого доступа к доменным именам и полномочий по редактированию правил сети.

Пострадала ли дикая природа от этого нападения?

Исследователи не обнаружили реальной атаки, исследование было опубликовано в качестве доказательства концепции. Опять же, один из пяти браузеров указывает на то, что сотни миллионов людей, которые используют хотя бы один плагин, находятся под теоретическим риском. Первые два шага рекомендуется обновить браузер и удалить неизвестные плагины.

Авторитет помощников, встроенных в браузер, так же надежен, как он доверяет своему помощнику в домене, который он работает. БрэгДжек показал, что это доверие можно обернуть с разрешения на уровне блокировщика рекламы. Пять продавцов также, похоже, быстро запускают патч и призовую часть, но сама архитектура стоит на том же месте. Агентизованная гонка браузеров будет видна в ближайшие месяцы, где подобные цепочки будут найдены несколько раз.