BragJack: jedno rozszerzenie przeglądarki przejmuje agentów AI w pięciu głównych przeglądarkach

16 września 2026 r. Gal Weizman, badacz bezpieczeństwa w Forever Security, opublikował BragJack: proof of concept, w którym jedno zwykłe rozszerzenie przeglądarki — bez zero-day, bez modelu po jailbreaku, bez przejętego serwera dostawcy — przejęło kontrolę nad agentami AI wbudowanymi w pięć produktów opartych na Chromium: Gemini Live w Google Chrome, Copilot w Microsoft Edge, Opera Neon, Perplexity Comet i Claude in Chrome. Rozszerzenie nie prosiło o nic egzotycznego. Wykorzystywało skrypty treści i API declarativeNetRequest Chromium — te same dwa uprawnienia, które ma większość blokerów reklam — aby dotrzeć do prywatnego kanału, którego własna witryna każdego dostawcy używa do wysyłania instrukcji swojemu agentowi. Weizman informuje, że Comet był najrozleglejszym przypadkiem przejęcia, że Google i Microsoft wydały poprawki i przypisały CVE-2026-0628 oraz CVE-2026-55945, a także że nie zaobserwowano żadnych ataków w środowisku rzeczywistym. Zostało to skatalogowane jako luka w zabezpieczeniach o wysokiej wadze, w archiwum incydentów AI, gdzie każdy wpis zawiera swoje źródła, ocenę pewności i oznaczenie sporne.

Rozszerzenie nie zepsuło modelu. Zepsuło kanał.

Każdy z pięciu produktów jest zbudowany w ten sam sposób, zgodnie z dokumentem technicznym, który Forever Security opublikowała tego samego dnia. Każdy z nich ma „ciało” wewnątrz przeglądarki, które potrafi otwierać karty, odczytywać pliki lokalne, robić zrzuty ekranu i klikać na stronach, oraz „mózg” poza przeglądarką, który decyduje, co ciało powinno robić — serwery Gemini Google dla Chrome, aplikacja internetowa perplexity.ai dla Comet, copilot.microsoft.com dla Edge, backend Anthropic dla Claude in Chrome. Ciało zostało zaprojektowane tak, aby przyjmować instrukcje dokładnie z jednego originu: własnej witryny dostawcy. Ten jeden zaufany origin to cały model bezpieczeństwa. Jest to również jedyna rzecz, do której rozszerzenie przeglądarki może mieć dostęp.

Chromium przyznaje każdemu zainstalowanemu rozszerzeniu dwie niemal uniwersalne możliwości. Skrypt treści pozwala mu uruchamiać JavaScript wewnątrz strony. API declarativeNetRequest, czyli DNR, pozwala mu przepisywać ruch sieciowy — usuwać nagłówek odpowiedzi, przekierowywać żądanie skryptu do innego serwera. Przeglądarki wkładają spory wysiłek w trzymanie tych dwóch możliwości z dala od uprzywilejowanych obszarów, a czterech z pięciu dostawców wykonało część tej pracy. W każdym przypadku Weizman znalazł lukę w części, którą pozostawili otwartą.

Nazywa tę ogólną technikę DinNeR Serving: użyć DNR, aby osłabić nagłówki bezpieczeństwa zaufanej strony, a następnie ponownie użyć DNR, aby przekierować jedno z żądań skryptu tej strony do serwera kontrolowanego przez atakującego. Strona uruchamia teraz kod atakującego, ale nadal uważa, że jest stroną dostawcy, a agent nadal sądzi, że otrzymuje komunikaty od dostawcy. Weizman donosi, że w Chrome rozszerzeniom prawidłowo uniemożliwiono dołączanie skryptu treści lub debuggera do osadzonej aplikacji Gemini oraz że DNR był jedynym mechanizmem, wobec którego Chromium nie rozszerzyło tej samej ochrony wewnątrz WebView. Usunięcie Content-Security-Policy i złagodzenie polityki izolacji dokumentu wystarczyło, by podmienić skrypt serwowany z gstatic.com na własny, a następnie z wnętrza chrome://glic mógł bezpośrednio wysyłać komunikaty o typach używanych przez samego agenta przeglądarki — utworzyć kartę pod adresem file:///, odczytać ją z powrotem jako tekst, PDF lub zrzut ekranu oraz wyciągnąć adres e-mail i zdjęcie zalogowanego profilu.

Co zrobiło to samo rozszerzenie — przeglądarka po przeglądarce

To rozszerzenie nie było pięcioma narzędziami. Było jednym manifestem, który żądał declarativeNetRequest i szerokiego dostępu do hostów, plus osobnym plikiem reguł dla każdego celu; między atakami zmieniały się tylko reguły. Własna tabela Forever Security jest najbardziej czytelnym podsumowaniem tego, do czego dotarł każdy łańcuch, i została przytoczona poniżej. Wiersz, który ma największe znaczenie, to Agent hijack: w czterech z pięciu przypadków zademonstrowany rezultat nie polegał na kradzieży danych, lecz na przejęciu kontroli nad agentem, który mógł działać w imieniu użytkownika w zalogowanych sesjach.

Te łańcuchy dla poszczególnych przeglądarek to ta część BragJack, której nie sprawdziła żadna druga strona. BleepingComputer, Cyber Security News, Cloud Security Alliance oraz krajowy CERT Tajlandii – wszystkie poinformowały o ujawnieniu i wszystkie opisują mechanikę w ten sam sposób, ale każda z nich opisuje opracowanie Forever Security, zamiast je testować. Powiadomienie ThaiCERT z 21 września 2026 r. podaje BleepingComputer jako źródło. To, co następuje, jest zatem relacją Weizmana z jego własnego proof of concept, czym właśnie jest ujawnienie, a nie niezależnie odtworzonym wynikiem.

Perplexity Comet: domena testowa wciąż na liście zaufanych

Comet był najgorszy z pięciu według rankingu samego badacza, a przyczyna ma charakter strukturalny, a nie wynika z błędu w kodzie. Perplexity zbudowało przeglądarkę, w której agent ma uprawnienia samej przeglądarki, więc przejęty agent dziedziczy je wszystkie. Perplexity wykonało także pracę defensywną, którą inni pominęli: rozszerzenia mają całkowicie zablokowane uruchamianie na perplexity.ai, dlatego Weizman twierdzi, że blokery reklam tam nie działają.

Luka dotyczyła listy originów w rozszerzeniu agenta, z których akceptowałoby ono polecenia. Według opisu technicznego lista zawierała dziesięć pozycji, a nie jedną — perplexity.ai i jego wariant www oraz hosty testing, staging i preview zarówno w perplexity.com, jak i perplexity.ai. Utwardzono tylko hosty produkcyjne. testing.perplexity.com nadal akceptował skrypty treści. Pozostałą przeszkodą było to, że każda z tych domen odpowiadała przekierowaniem 302 na perplexity.ai, więc przeglądarka nigdy nie zatrzymywała się na stronie testowej wystarczająco długo, aby skrypt mógł się do niej podpiąć. Reguła DNR usuwająca nagłówek Location usuwa tę przeszkodę, a skrypt treści może wtedy komunikować się bezpośrednio z rozszerzeniem agenta przez udostępniany przez nie kanał komunikacji runtime.

Według Weizmana agent na żądanie wyświetlał historię przeglądania, otwierał dowolne adresy URL, w tym ścieżki file:///, oraz robił zrzuty ekranu widocznych kart — a następnie, za pomocą polecenia uruchamiającego przebieg agenta z podanego promptu, mógł zrobić niemal wszystko, co mógłby zrobić użytkownik. Jego demonstracyjny prompt polecił Cometowi odwiedzić perplexity.ai, podsumować ostatnie pięć e-maili i wysłać podsumowanie na drugi adres. Podaje też, że kwestia dostępu przez file:/// została uwzględniona we wcześniejszym ujawnieniu dotyczącym Cometa, ale poprawka rozróżniała wielkość liter, więc FiLe:///etc/hosts nadal działał. Nic z tego nie pojawia się w żadnym komunikacie doradczym Perplexity; firma wypłaciła nagrodę i, według Forever Security, naprawiła zachowanie, które jej pokazano.

Microsoft Edge: strona marketingowa, syntetyczne kliknięcie i wyścig

Edge był jedynym celem, który stawił opór, i jest najbardziej pouczający z pięciu. Microsoft podzielił swojego agenta na tryb „Think”, który przyjmuje prompty, oraz tryb „Do”, który działa na stronach; oba celowo nie mogą działać jednocześnie — to prawdziwy mechanizm bezpieczeństwa, który już przez samą konstrukcję powstrzymuje wymuszanie promptów. Microsoft zabezpieczył także stronę marketingową pod adresem microsoft.com/edge, która demonstruje agenta, uzależniając jej uprzywilejowaną funkcję wysyłania promptów od trzech osobnych warunków: nagłówka Content-Security-Policy, którego nie można było po prostu usunąć, ponieważ uprzywilejowany obiekt nigdy nie jest tworzony, gdy brakuje tego nagłówka; świeżego tokenu gestu użytkownika; oraz funkcji, która wypełnia pole promptu, zamiast je wysyłać.

Według relacji Weizmana każdy z warunków został pokonany inną sztuczką. Zamiast usunąć CSP, rozszerzył jej dyrektywę frame-ancestors, aby zezwolić na osadzanie przez dowolną witrynę .com. W przypadku tokenu gestu dodał uprawnienie debugger do manifestu i wysłał syntetyczne kliknięcie, które Chromium akceptuje jako organiczny gest. W przypadku wyścigu wyłączył flagę narzędzi agenta, wywołał funkcję wysyłania promptu, a następnie ponownie włączył flagę, podczas gdy agent wciąż decydował, czy wolno mu działać. Ustawienie było wyłączone w momencie wymuszenia promptu i włączone w momencie, gdy uruchomiono sprawdzanie uprawnień. To właśnie temu Microsoft przypisał CVE-2026-55945.

Pieniądze odpowiadają pracy: Forever Security odnotowuje 3000 USD za znalezisko w Edge Chromium i 2000 USD za warunek wyścigu, łącznie 5000 USD — trzecie miejsce z pięciu, za po 7000 USD od Google i Perplexity.

Opera Neon i Claude w Chrome: te dwa łatwe

Opera Neon wymagał najmniejszego wysiłku z całej piątki. Jego agent przyjmuje polecenia z opera.com, a w przeciwieństwie do Google i Perplexity, które obie zablokowały rozszerzeniom dołączanie skryptów treści do zaufanego originu swojego agenta, Opera nie powstrzymała rozszerzeń przed dołączeniem skryptu treści do tej domeny, dzięki czemu rozszerzenie Weizmana mogło wstrzyknąć tam skrypt i wywołać kanał wiadomości agenta bezpośrednio z dowolnym promptem, jakiego zapragnęło. Usunięcie CSP sprawiło, że ten sam atak można było osadzić w niewidocznej ramce na dowolnej stronie. Jego opis dodaje jeden szczegół, którego nie ma w relacjach nikogo innego: Opera poinformowała go, że niezależnie odkryła tę lukę mniej więcej w tym samym czasie, i mimo to wypłaciła nagrodę $900. To twierdzenie dostawcy przytoczone przez badacza, a nie ustalenie, na które dowody opublikowała którakolwiek ze stron.

Claude in Chrome to nietypowy przypadek, ponieważ jest rozszerzeniem, a nie przeglądarką, i Forever Security mówi to wprost: jedno rozszerzenie wykorzystujące inne stanowi mniejsze ryzyko niż rozszerzenie wykorzystujące przeglądarkę, w której działa. Mechanizm polegał na stronie marketingowej w claude.ai, która mogła przekazywać dowolne prompty do panelu bocznego, w połączeniu ze skryptem treści, który uruchamiał się po kliknięciu przycisku onboardingowego i odczytywał prompt z atrybutu danych. Weizman sam ustawił id i atrybut ciała strony, wywołał syntetyczne kliknięcie za pośrednictwem uprawnienia debuggera, a panel boczny otworzył się z jego promptem. Anthropic ocenił to jako średni poziom istotności, wypłacił nagrodę i według Forever Security przyznał, że firma jako pierwsza zgłosiła to konkretne odkrycie. Dwa posty Forever nieznacznie różnią się co do kwoty — $600 w głównej tabeli, $500 w towarzyszącym materiale technicznym.

Co tak naprawdę mówią własne zapisy sprzedawców

Tylko dwa z pięciu wygenerowały publiczny rekord podatności, a oba są o kilka miesięcy starsze niż opracowanie o BragJack. Nota wydania Google dla stabilnego kanału z 6 stycznia 2026 r. wymienia „Wysoki CVE-2026-0628: niewystarczające egzekwowanie zasad w tagu WebView. Zgłoszone przez Gal Weizman 2025-11-23” oraz podaje wersje 143.0.7499.192/.193 dla Windows i Mac oraz 143.0.7499.192 dla Linux. Wpis w National Vulnerability Database, opublikowany 7 stycznia 2026 r., opisuje tę lukę jako pozwalającą atakującemu „który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, wstrzyknąć skrypty lub HTML do uprzywilejowanej strony za pośrednictwem spreparowanego rozszerzenia Chrome”, klasyfikuje ją jako CWE-862, brak autoryzacji, i ma ocenę CVSS 3.1 wynoszącą 8.8. Ten wynik nie jest autorstwa Google: pochodzi z wzbogacenia rekordu przez CISA, jak zauważył The Hacker News, a własna nota Google ocenia ten problem jako Wysoki.

Rejestr Microsoftu jest jeszcze węższy. CVE-2026-55945, opublikowany 3 lipca 2026 r., to warunek wyścigu CWE-362 z oceną CVSS 3.1 wynoszącą 4,2 i ważnością „Moderate”. W oświadczeniu Microsoftu dotyczącym wpływu podano „Information Disclosure”, a w jego własnych FAQ stwierdzono, że ujawniane informacje to zawartość plików. Poprawiona kompilacja to 150.0.4078.48, wydana tego samego dnia, a status wykorzystania w rejestrze brzmi „Publicly Disclosed: No; Exploited: No”. Nic w tym dokumencie nie opisuje agenta sterowanego na dowolnych stronach internetowych, co jest wpływem zgłaszanym przez Weizmana. Oba stwierdzenia mogą być jednocześnie prawdziwe — CVE obejmuje warunek wyścigu, podczas gdy możliwość z strony marketingowej była drugim ustaleniem opłaconym osobno — ale żaden opublikowany dotąd dokument dostawcy nie opisuje pełnego łańcucha end-to-end.

„Zero kliknięć” oznacza po zainstalowaniu rozszerzenia.

Sformułowanie w tabeli Forever Security jest trafne i łatwe do błędnego odczytania. BragJack nie jest atakiem drive-by. BleepingComputer, Cloud Security Alliance i ThaiCERT wszyscy zaczynają od tego samego warunku wstępnego: złośliwe rozszerzenie musi być już zainstalowane. Badania pokazują, że gdy już jest, nie potrzeba żadnego dodatkowego kliknięcia — rozszerzenie dociera do agenta na dowolnej stronie, na której akurat znajduje się użytkownik, nie wyświetlając niczego. W przypadku Comet i Opera Neon nie wymagało to żadnej interakcji; w przypadku Edge i Claude in Chrome kliknięcie, którego żądał agent, zostało wygenerowane przez rozszerzenie za pośrednictwem uprawnienia debuggera, więc użytkownik również go nie dostarczył.

Ta różnica określa rzeczywiste narażenie w praktyce. Atak wymaga albo użytkownika, który instaluje coś złośliwego, albo rozszerzenia już zaufanego w sklepie, które później staje się złośliwe — żaden z tych warunków nie jest wysoką poprzeczką, dlatego zalecenia CSA koncentrują się na inwentaryzacji rozszerzeń i na traktowaniu uprawnień declarativeNetRequest i debugger jako uprzywilejowanych. To także powód, dla którego nikt nie zgłosił ataku: dowód koncepcji wymagający zainstalowania wrogiego rozszerzenia jest demonstracją możliwości, a nie kampanią.

Wymuszanie promptu i powiązany z tym argument sprzedażowy

Terminologia ma znaczenie, ponieważ opisuje, gdzie znajdowały się zabezpieczenia. Prompt injection ukrywa instrukcje w treści, którą model już czyta; szkolenie i filtry modelu są zamierzonym zabezpieczeniem. Weizman napisał cały prompt, wybrał moment jego dotarcia i stale wysyłał kolejne wiadomości — ze źródła, któremu agent został zaprojektowany, by ufać. Filtrowanie bezpieczeństwa na poziomie modelu nigdy nie staje się istotne, ponieważ nic w tej wymianie nie wygląda jak atak. Forever Security nazywa to prompt forcing.

Wniosek, jaki wyciąga firma, jest taki, że wykrywanie na punktach końcowych również tego nie dostrzeże, ponieważ nie uruchamia się żaden złośliwy kod: legalnemu oprogramowaniu nakazuje się zrobić coś, na co ma pozwolenie. To twierdzenie pojawia się w ramach prezentacji produktu — Forever Security sprzedaje natywnego dla AI agenta punktu końcowego, a oba artykuły kończą się jego rekomendacją. Spostrzeżenie, że przejęty agent nie pozostawia sygnatury złośliwego oprogramowania, nie wymaga niczego kupować, ale jest to argument badacza, a nie zmierzony wynik, i żadna niezależna strona nie sprawdziła, czy jakikolwiek produkt chroniący punkty końcowe wykrywa takie łańcuchy.

Co jest ustalone, a co opiera się na jednym badaczu

Archiwum klasyfikuje ten wpis jako podatność, waga wysoka, region globalny, pewność B — udokumentowaną, ale pochodzącą z jednego lub wtórnego źródła — niekwestionowaną, bez odnotowanych rzeczywistych szkód. Ten stopień opisuje dowody, a nie wagę błędów, i ten podział przebiega wyraźnie przez całą historię.

Ustalono w tym sensie, że podaje to dostawca lub zapis własny:

• Google wydało poprawkę Chrome 6 stycznia 2026 r. w wersjach 143.0.7499.192 i .193 oraz przypisało Galowi Weizmanowi zgłoszenie z 23 listopada 2025 r. Znajduje się to w samej nocie wydania Google, a nie w relacji badacza na ten temat.

• CVE-2026-0628 istnieje, został oceniony jako High przez Google i na 8.8 przez wzbogacenie CISA w rekordzie NVD oraz sklasyfikowany jako niewystarczające egzekwowanie zasad w tagu WebView.

• Microsoft opublikował 3 lipca 2026 r. CVE-2026-55945 jako umiarkowaną (Moderate) lukę typu race condition o ocenie 4.2, prowadzącą do ujawnienia informacji, naprawioną w Edge 150.0.4078.48, przy czym wykorzystanie odnotowano jako brak (none).

• Oceny SSVC przeprowadzone przez CISA w obu rekordach NVD wskazują „exploitation: none”, a nikt — ani dostawca, ani badacz, ani zgłaszający — nie twierdził, że doszło do ataku w środowisku rzeczywistym. To brak zgłoszeń, co nie jest tym samym co dowód ich braku, ale taki jest stan zapisów sześć tygodni po publikacji.

Opierając się wyłącznie na koncie Forever Security:

• Każdy łańcuch exploitów dla poszczególnych przeglądarek, w tym zestawy reguł DNR, usunięcie przekierowania testing.perplexity.com, sekwencję na stronie marketingowej Edge oraz kliknięcie przycisku onboardingu w Claude. CVE opisują dwa mechanizmy; nie opisują tych łańcuchów.

• Pełna lista skutków dla Comet — historia przeglądania, odczyty lokalnych plików, dane profilu, zrzuty ekranu — oraz konkretne twierdzenie, że przejętemu agentowi Comet można by prostym językiem angielskim polecić podsumowanie i przekazanie dalej wiadomości e-mail. BleepingComputer podaje to jako demonstrację badacza; żadne oświadczenie Perplexity tego nie potwierdza ani nie zaprzecza.

• Dostęp Chrome do kamery i mikrofonu, który BleepingComputer opisuje jako „potencjalnie” osiągalny, a tabela Forever wymienia jako uzyskany.

• Łączna kwota nagród. Forever Security podaje około 20 000 dolarów od pięciu dostawców; jego własne kwoty dla poszczególnych produktów sumują się do 20 500 dolarów, na co uwagę arytmetyczną zwrócił również The Hacker News. Kwota dla Claude in Chrome różni się między dwoma wpisami firmy. „Ponad 20 000 dolarów” BleepingComputer jest spójne z oboma odczytaniami.

• To, że prompt forcing to nowa klasa ataku, a nie nazwa rodziny błędów autoryzacji, jest twierdzeniem o sposobie ujęcia. Cloud Security Alliance — które przyjęło to określenie — opisuje leżący u podstaw wzorzec jako lukę architektoniczną wspólną dla różnych dostawców, a nie nową technikę mającą własne mechanizmy.

Trzej z pięciu dostawców nigdy nie opublikowali żadnego rekordu podatności. CSA zauważa, że Perplexity, Opera i Anthropic potwierdzili i naprawili konkretny proof of concept bez biuletynów porównywalnych z biuletynami Google'a i Microsoftu, a Forever Security nie podaje dat naprawy dla tych trzech. Nie opublikowano żadnej niezależnej reprodukcji jakiegokolwiek łańcucha BragJack; Cyber Security News i ThaiCERT oba powtarzają ujawnienie, a ThaiCERT cytuje BleepingComputer.

Co zmieniło się po ujawnieniu

Dla użytkowników Chrome i Edge praktyczna odpowiedź brzmi: 16 września nie trzeba było niczego zmieniać — poprawki trafiły do użytkowników w styczniu i lipcu, a każdy, kto korzystał z Chrome 143.0.7499.192 lub nowszego albo Edge 150.0.4078.48 lub nowszego, miał już zainstalowaną łatkę. Warto przez chwilę przysiąść nad tą chronologią. Błędy zamknięto miesiące wcześniej, zanim technika, która je wiązała, otrzymała nazwę — co jest typowym przebiegiem skoordynowanego ujawniania, a zarazem powodem, dla którego nagłówek brzmi gorzej niż stan załatań.

Dla Comet, Opera Neon i Claude in Chrome sytuacja jest mniej jasna. Każdy z dostawców wypłacił nagrodę i, według Forever Security i CSA, odniósł się do zademonstrowanego zachowania. Żaden nie opublikował biuletynu przypisanego do konkretnej wersji ani daty, więc nie ma numeru kompilacji, z którym użytkownik mógłby to porównać — jest tylko ogólne zalecenie, aby korzystać z aktualnej wersji. Wytyczne CSA dla organizacji to spisanie rozszerzeń z uprawnieniami declarativeNetRequest lub debugger, ograniczenie przeglądarek agentowych do profili bez uwierzytelnionych sesji do poczty e-mail, kodu lub finansów oraz pytanie dostawców, jak oddzielają syntetyczne dane wejściowe od prawdziwych danych użytkownika. Rada BleepingComputer dla osób indywidualnych jest prostsza: aktualizuj przeglądarkę, usuwaj rozszerzenia, których nie rozpoznajesz, i traktuj „odczytywanie i zmienianie wszystkich Twoich danych we wszystkich witrynach” jako ostrzeżenie, którym jest.

Nierozstrzygnięte pytanie nie brzmi, czy naprawiono pięć błędów. Brzmi ono, czy naprawiono założenie projektowe, które za nimi stało. Każdy z tych produktów traktował witrynę internetową first-party jako zaufane miejsce, w którym uprzywilejowany lokalny agent może przyjmować polecenia, w przeglądarce, w której dowolne zainstalowane rozszerzenie może przepisać to, co ta witryna mówi. Forever Security przekonuje, że rozwiązaniem jest monitorowanie na poziomie punktów końcowych; CSA opowiada się za walidacją pochodzenia, zasadą najmniejszych uprawnień, izolowanymi kanałami poleceń i niemożliwym do podrobienia pochodzeniem danych wejściowych. Żaden z pięciu dostawców nie powiedział publicznie, w żadnym z materiałów przejrzanych do tego artykułu, że zmienił architekturę, a nie konkretną ścieżkę, którą przeszedł Weizman.

Data w rejestrze to data wyjaśnienia, a nie data błędów — i ta luka jest sednem historii. Jedno rozszerzenie, dwa uprawnienia, które blokery reklam mają od lat, i pięciu dostawców, z których każdy wierzył, że jego własna strona jest jedynym miejscem, w którym atakujący nie mógł się zadomowić.