BragJack: ส่วนขยายเบราว์เซอร์เพียงตัวเดียวสามารถไฮแจ็กเอเจนต์ AI ในเบราว์เซอร์หลักทั้งห้าได้

เมื่อวันที่ 16 กันยายน 2026 Gal Weizman นักวิจัยด้านความปลอดภัยที่ Forever Security ได้เผยแพร่ BragJack: หลักฐานเชิงแนวคิดที่ส่วนขยายเบราว์เซอร์ธรรมดาตัวหนึ่ง — ไม่มี zero-day ไม่มีโมเดลที่ถูก jailbreak ไม่มีเซิร์ฟเวอร์ของผู้ขายที่ถูกบุกรุก — เข้าควบคุมเอเจนต์ AI ที่ฝังอยู่ในผลิตภัณฑ์ที่อิง Chromium ห้ารายการ ได้แก่ Gemini Live ใน Google Chrome, Copilot ใน Microsoft Edge, Opera Neon, Perplexity Comet และ Claude in Chrome ส่วนขยายนี้ไม่ได้ขอสิทธิ์แปลกประหลาดใด ๆ มันใช้ content scripts และ API declarativeNetRequest ของ Chromium ซึ่งเป็นสิทธิ์สองอย่างเดียวกับที่มีอยู่ในโปรแกรมบล็อกโฆษณาส่วนใหญ่ เพื่อเข้าถึงช่องทางส่วนตัวที่เว็บไซต์ของผู้ขายแต่ละรายใช้ส่งคำสั่งไปยังเอเจนต์ของตน Weizman รายงานว่า Comet เป็นการถูกบุกรุกในวงกว้างที่สุด ว่า Google และ Microsoft ได้ออกแพตช์แก้ไขและกำหนด CVE-2026-0628 และ CVE-2026-55945 และยังไม่พบการโจมตีในโลกจริง จัดอยู่ในประเภทช่องโหว่ ระดับความรุนแรงสูง ใน คลังเหตุการณ์ AI ซึ่งแต่ละรายการมีแหล่งที่มา เกรดความเชื่อมั่น และธงข้อโต้แย้งกำกับอยู่

ส่วนขยายไม่ได้ทำให้โมเดลพัง但它ทำให้ช่องทางพัง

ผลิตภัณฑ์ทั้งห้ารายการถูกสร้างขึ้นด้วยวิธีเดียวกัน ตามเอกสารทางเทคนิคประกอบที่ Forever Security เผยแพร่ในวันเดียวกัน แต่ละรายการมี "body" อยู่ภายในเบราว์เซอร์ที่สามารถเปิดแท็บ อ่านไฟล์ภายในเครื่อง จับภาพหน้าจอ และคลิกบนหน้าเว็บ และมี "brain" อยู่นอกเบราว์เซอร์ที่ตัดสินใจว่า body ควรทำอะไร — เซิร์ฟเวอร์ Gemini ของ Google สำหรับ Chrome, เว็บแอป perplexity.ai สำหรับ Comet, copilot.microsoft.com สำหรับ Edge, แบ็กเอนด์ของ Anthropic สำหรับ Claude in Chrome body ถูกออกแบบให้รับคำสั่งจากต้นกำเนิดเดียวเท่านั้น คือเว็บไซต์ของผู้จำหน่ายเอง ต้นกำเนิดที่เชื่อถือได้เพียงหนึ่งเดียวนั้นคือแบบจำลองความปลอดภัยทั้งหมด และยังเป็นสิ่งที่ส่วนขยายเบราว์เซอร์ได้รับอนุญาตให้แตะต้อง

Chromium ให้สิทธิ์สองอย่างแก่ส่วนขยายที่ติดตั้งแล้วใดๆ ซึ่งใกล้เคียงกับอำนาจสากล สคริปต์เนื้อหาทำให้它能รัน JavaScript ภายในหน้าเว็บ API declarativeNetRequest หรือ DNR ทำให้它能เขียนเส้นทางเครือข่ายใหม่ — ลบส่วนหัวการตอบกลับ รีไดเรกต์คำขอสคริปต์ไปยังเซิร์ฟเวอร์อื่น เบราว์เซอร์ใช้ความพยายามอย่างจริงจังในการกันสองอำนาจนั้นออกจากพื้นผิวที่มีสิทธิ์พิเศษ และสี่ในห้าผู้จำหน่ายได้ทำงานส่วนหนึ่งนั้นแล้ว สิ่งที่ Weizman พบในแต่ละกรณีคือช่องว่างในส่วนที่พวกเขาเปิดทิ้งไว้

เขาเรียกเทคนิคทั่วไปนี้ว่า DinNeR Serving: ใช้ DNR เพื่อทำให้ security headers ของหน้าเว็บที่เชื่อถือได้อ่อนแอลง จากนั้นใช้ DNR อีกครั้งเพื่อเปลี่ยนเส้นทางคำขอสคริปต์รายการหนึ่งของหน้านั้นไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม ตอนนี้หน้าเว็บรันโค้ดของผู้โจมตี แต่ยังเชื่อว่าเป็นหน้าของผู้จำหน่าย และเอเจนต์ยังเชื่อว่ากำลังได้รับข้อมูลจากผู้จำหน่าย ใน Chrome Weizman รายงานว่าส่วนขยายถูกบล็อกอย่างถูกต้องจากการแนบ content script หรือ debugger เข้ากับแอป Gemini ที่ฝังอยู่ และ DNR เป็นกลไกเดียวที่ Chromium ไม่ได้ขยายการป้องกันแบบเดียวกันไปยังภายใน WebView การถอด Content-Security-Policy และผ่อนปรนนโยบายการแยกเอกสาร (document isolation policy) ก็เพียงพอที่จะสลับสคริปต์ที่เสิร์ฟจาก gstatic.com เป็นสคริปต์ของเขาเอง และจากภายใน chrome://glic เขาสามารถส่งประเภทข้อความของเอเจนต์เบราว์เซอร์เองได้โดยตรง — สร้างแท็บที่ที่อยู่ file:/// อ่านกลับมาเป็นข้อความ PDF หรือภาพหน้าจอ และดึงอีเมลแอดเดรสและรูปภาพของโปรไฟล์ที่ลงชื่อเข้าใช้อยู่

สิ่งที่ส่วนขยายเดียวกันทำ แยกตามเบราว์เซอร์

ส่วนขยายนี้ไม่ใช่เครื่องมือห้าชิ้น แต่เป็น manifest ไฟล์เดียวที่ขอสิทธิ์ declarativeNetRequest และการเข้าถึงโฮสต์แบบกว้าง พร้อมไฟล์กฎแยกต่างหากสำหรับแต่ละเป้าหมาย; มีเพียงกฎที่เปลี่ยนไประหว่างการโจมตี ตารางของ Forever Security เองเป็นสรุปที่ชัดเจนที่สุดว่าการโจมตีแต่ละเชนเข้าถึงอะไรได้ และได้แสดงซ้ำไว้ด้านล่าง แถวที่สำคัญที่สุดคือ Agent hijack: ในสี่จากห้า ผลลัพธ์ที่สาธิตได้ไม่ใช่การขโมยข้อมูล แต่เป็นการควบคุมเอเจนต์ที่สามารถกระทำการแทนผู้ใช้ภายในเซสชันที่ล็อกอินอยู่

เชนแยกตามเบราว์เซอร์เหล่านั้นเป็นส่วนหนึ่งของ BragJack ที่ยังไม่มีฝ่ายที่สองตรวจสอบ BleepingComputer, Cyber Security News, Cloud Security Alliance และ CERT แห่งชาติของไทยต่างรายงานการเปิดเผยนี้ และทุกแห่งอธิบายกลไกในลักษณะเดียวกัน แต่ทุกแห่งกำลังอธิบายบทความของ Forever Security มากกว่าที่จะทดสอบมัน ประกาศของ ThaiCERT ลงวันที่ 21 กันยายน 2026 อ้างอิง BleepingComputer เป็นแหล่งที่มา ดังนั้น สิ่งที่ตามมาจึงเป็นคำอธิบายของ Weizman เกี่ยวกับ proof of concept ของเขาเอง ซึ่งนั่นคือสิ่งที่การเปิดเผยหมายถึง และไม่ใช่ผลลัพธ์ที่ได้รับการทำซ้ำอย่างเป็นอิสระ

Perplexity Comet: โดเมนทดสอบที่ยังคงอยู่ในรายการที่เชื่อถือได้

Comet เป็นตัวที่แย่ที่สุดในทั้งห้าตัวตามการจัดอันดับของผู้วิจัยเอง และสาเหตุนั้นเป็นเชิงโครงสร้างมากกว่าจะเป็นความผิดพลาดในการเขียนโค้ด Perplexity สร้างเบราว์เซอร์ที่เอเจนต์ถือสิทธิ์ของเบราว์เซอร์เอง ดังนั้นเอเจนต์ที่ถูกจี้จึงสืบทอดสิทธิ์ทั้งหมดเหล่านั้น Perplexity ยังได้ทำงานด้านการป้องกันที่ตัวอื่น ๆ มองข้ามไปด้วย: ส่วนขยายถูกบล็อกไม่ให้ทำงานบน perplexity.ai โดยสิ้นเชิง ซึ่งเป็นเหตุผลที่ Weizman กล่าวว่าตัวบล็อกโฆษณาใช้ไม่ได้ที่นั่น

ช่องโหว่อยู่ในรายการ origins ที่ส่วนขยายเอเจนต์จะยอมรับคำสั่งจาก ตามเอกสารทางเทคนิค รายการนั้นมีสิบรายการ ไม่ใช่รายการเดียว — perplexity.ai และตัวแปร www ของมัน บวกกับโฮสต์ testing, staging และ preview บนทั้ง perplexity.com และ perplexity.ai มีเพียงโฮสต์โปรดักชันเท่านั้นที่ถูกเสริมความปลอดภัยแล้ว testing.perplexity.com ยังคงยอมรับ content scripts อุปสรรคที่เหลือคือทุกโดเมนเหล่านั้นตอบกลับด้วย 302 redirect ไปยัง perplexity.ai เบราว์เซอร์จึงไม่เคยไปถึงหน้าทดสอบนานพอที่สคริปต์จะแนบติดได้ กฎ DNR ที่ลบ Location header ออกจะขจัดอุปสรรคนั้น แล้ว content script ก็สามารถสื่อสารกับส่วนขยายเอเจนต์ได้โดยตรงผ่านช่องทาง runtime messaging ที่มันเปิดไว้

ตามคำกล่าวของ Weizman สิ่งที่เอเจนต์จะทำเมื่อได้รับคำขอคือแสดงรายการประวัติการเรียกดู เปิด URL โดยพลการ รวมถึงพาธ file:/// และจับภาพแท็บที่มองเห็นได้ — จากนั้นผ่านคำสั่งที่เริ่มการทำงานของเอเจนต์จากพรอมต์ที่กำหนดไว้ ก็ทำได้เกือบทุกอย่างที่ผู้ใช้ทำได้ พรอมต์สาธิตของเขาขอให้ Comet ไปที่ perplexity.ai สรุปอีเมลห้าฉบับล่าสุด และส่งบทสรุปไปยังที่อยู่อีกแห่งหนึ่ง เขายังรายงานว่าการเข้าถึง file:/// ได้รับการจัดการในการเปิดเผยข้อมูลของ Comet ก่อนหน้านี้ แต่การแก้ไขนั้นคำนึงถึงตัวพิมพ์เล็ก-ใหญ่ ดังนั้น FiLe:///etc/hosts จึงยังใช้งานได้ ไม่มีสิ่งใดปรากฏในประกาศคำแนะนำใด ๆ ของ Perplexity; บริษัทจ่ายเงินรางวัล และตามข้อมูลของ Forever Security ได้แก้ไขพฤติกรรมที่ถูกแสดงให้เห็นแล้ว

Microsoft Edge: หน้าเพจการตลาด การคลิกสังเคราะห์ และสภาวะการแข่งขัน

Edge เป็นเพียงเป้าหมายเดียวที่โต้กลับ และเป็นกรณีที่ให้บทเรียนมากที่สุดในทั้งห้า Microsoft ได้แยกเอเจนต์ของตนออกเป็นโหมด "Think" ที่รับพรอมต์ และโหมด "Do" ที่ลงมือกระทำบนหน้าเว็บ โดยทั้งสองถูกออกแบบมาให้ทำงานพร้อมกันไม่ได้โดยเจตนา — ซึ่งเป็นกลไกความปลอดภัยจริง และเป็นกลไกที่หยุดการบังคับพรอมต์ได้ตั้งแต่ในเชิงโครงสร้าง Microsoft ยังเสริมความแข็งแกร่งให้หน้าเว็บการตลาดที่ microsoft.com/edge ซึ่งสาธิตเอเจนต์ โดยกำหนดให้ฟังก์ชันส่งพรอมต์แบบมีสิทธิ์พิเศษต้องผ่านเงื่อนไขแยกกันสามข้อ: Content-Security-Policy ที่ไม่สามารถลบออกเฉย ๆ ได้ เพราะออบเจ็กต์ที่มีสิทธิ์พิเศษจะไม่ถูกสร้างขึ้นเลยเมื่อไม่มีเฮดเดอร์ดังกล่าว, โทเค็นจากการกระทำของผู้ใช้ที่สร้างขึ้นใหม่ และฟังก์ชันที่เติมข้อความลงในกล่องพรอมต์แทนที่จะส่งมัน

เรื่องเล่าของไวซ์แมนคือแต่ละเงื่อนไขถูกเอาชนะด้วยกลอุบายที่แตกต่างกัน แทนที่จะลบ CSP เขากลับขยาย directive frame-ancestors ให้อนุญาตให้เว็บ .com ใดก็ได้ฝังได้ สำหรับ gesture token เขาเพิ่มสิทธิ์ debugger ลงใน manifest และส่ง click สังเคราะห์ ซึ่ง Chromium ยอมรับว่าเป็น gesture ที่เกิดขึ้นจริง สำหรับ race เขาปิด flag agent tools เรียกฟังก์ชันส่ง prompt แล้วเปิด flag กลับคืนขณะที่ agent ยังคงกำลังตัดสินใจว่าจะได้รับอนุญาตให้ดำเนินการหรือไม่ การตั้งค่าถูกปิดในจังหวะที่ prompt ถูกบังคับ และเปิดในจังหวะที่การตรวจสอบสิทธิ์ทำงาน นั่นคือสิ่งที่ Microsoft กำหนดให้เป็น CVE-2026-55945

เงินรางวัลสอดคล้องกับงานที่ทำ: Forever Security บันทึก $3,000 สำหรับช่องโหว่ที่พบใน Edge Chromium และ $2,000 สำหรับ race condition รวมเป็น $5,000 — เป็นอันดับสามจากห้ารายการ รองจาก Google และ Perplexity ที่ให้รายละ $7,000

Opera Neon และ Claude ใน Chrome: สองตัวที่ง่าย

Opera Neon ต้องใช้ความพยายามน้อยที่สุดในบรรดาทั้งห้าราย เอเจนต์ของมันรับคำสั่งจาก opera.com และต่างจาก Google กับ Perplexity ซึ่งทั้งคู่บล็อกไม่ให้ส่วนขยายแนบ content script กับต้นทางที่เชื่อถือได้ของเอเจนต์ Opera กลับไม่ได้หยุดส่วนขยายจากการแนบ content script กับโดเมนนั้น ดังนั้นส่วนขยายของ Weizman จึงสามารถฉีดสคริปต์ที่นั่นและเรียกช่องทางข้อความของเอเจนต์ได้โดยตรงด้วยพรอมป์ตอะไรก็ได้ที่มันต้องการ การลบ CSP ทำให้การโจมตีแบบเดียวกันนี้ฝังได้ในเฟรมล่องหนบนหน้าเว็บใดก็ได้ บทความของเขาเสริมรายละเอียดหนึ่งที่ไม่มีในการรายงานของคนอื่น: Opera บอกเขาว่าพวกเขาค้นพบช่องโหว่นี้ด้วยตนเองในช่วงเวลาไล่เลี่ยกัน และยังจ่ายเงินรางวัล 900 ดอลลาร์ให้อยู่ดี นั่นเป็นคำกล่าวอ้างของบริษัทที่นักวิจัยรายงาน ไม่ใช่ข้อค้นพบที่ทั้งสองฝ่ายได้เผยแพร่หลักฐานยืนยัน

Claude in Chrome เป็นกรณีที่แปลก เพราะมันเป็นส่วนขยายไม่ใช่เบราว์เซอร์ และ Forever Security ระบุไว้ตรงๆ ว่า ส่วนขยายหนึ่งที่ใช้ช่องโหว่ของอีกส่วนขยายหนึ่งถือเป็นความเสี่ยงที่น้อยกว่าส่วนขยายที่ใช้ช่องโหว่ของเบราว์เซอร์ที่มันทำงานอยู่ กลไกนี้คือหน้าเพจการตลาดบน claude.ai ที่สามารถส่งพรอมป์ต์ใดก็ได้ไปยังแผงด้านข้าง ประกอบกับคอนเทนต์สคริปต์ที่ทำงานเมื่อมีการคลิกปุ่มเริ่มต้นใช้งานและอ่านพรอมป์ต์จากแอตทริบิวต์ data Weizman ตั้งค่า id และแอตทริบิวต์ของ body ของหน้าเพจด้วยตนเอง ส่งคลิกสังเคราะห์ผ่านสิทธิ์ debugger และแผงด้านข้างก็เปิดขึ้นพร้อมพรอมป์ต์ของเขา Anthropic จัดระดับความรุนแรงปานกลาง จ่ายเงินรางวัล และตามข้อมูลของ Forever Security ได้ยอมรับบริษัทว่าเป็นรายแรกที่รายงานการค้นพบนี้โดยเฉพาะ โพสต์สองโพสต์ของ Forever ขัดแย้งกันเล็กน้อยเกี่ยวกับจำนวนเงิน — $600 ในตารางหลัก และ $500 ในเอกสารทางเทคนิคประกอบ

สิ่งที่บันทึกของผู้ขายเองระบุไว้จริง ๆ

ในห้ารายการ มีเพียงสองรายการเท่านั้นที่สร้างบันทึกช่องโหว่สาธารณะ และทั้งสองรายการเกิดขึ้นก่อนบทความ BragJack หลายเดือน บันทึกประจำรุ่นช่องทางเสถียรของ Google สำหรับวันที่ 6 มกราคม 2026 ระบุว่า "High CVE-2026-0628: การบังคับใช้นโยบายไม่เพียงพอในแท็ก WebView รายงานโดย Gal Weizman เมื่อ 2025-11-23" และระบุเวอร์ชัน 143.0.7499.192/.193 สำหรับ Windows และ Mac และ 143.0.7499.192 สำหรับ Linux รายการใน National Vulnerability Database ซึ่งเผยแพร่เมื่อ 7 มกราคม 2026 อธิบายว่าช่องโหว่นี้ทำให้ผู้โจมตี "ที่โน้มน้าวให้ผู้ใช้ติดตั้งส่วนขยายที่เป็นอันตรายสามารถฉีดสคริปต์หรือ HTML เข้าสู่หน้าเว็บที่มีสิทธิพิเศษผ่าน Chrome Extension ที่สร้างขึ้นมาโดยเฉพาะ" จัดประเภทเป็น CWE-862 คือการขาดการอนุญาต และมีคะแนน CVSS 3.1 เท่ากับ 8.8 คะแนนนั้นไม่ใช่ของ Google: มาจากการเพิ่มเติมข้อมูลในบันทึกโดย CISA ตามที่ The Hacker News ระบุ และบันทึกของ Google เองให้คะแนนประเด็นนี้ในระดับ High

บันทึกของ Microsoft แคบกว่านั้นอีก CVE-2026-55945 ซึ่งเผยแพร่เมื่อวันที่ 3 กรกฎาคม 2026 เป็น race condition แบบ CWE-362 ที่มีคะแนน CVSS 3.1 เท่ากับ 4.2 ความรุนแรงระดับ Moderate ข้อความผลกระทบของ Microsoft ระบุว่า "Information Disclosure" และ FAQ ของ Microsoft เองระบุว่าข้อมูลที่ถูกเปิดเผยคือเนื้อหาไฟล์ บิลด์ที่แก้ไขแล้วคือ 150.0.4078.48 ซึ่งเผยแพร่ในวันเดียวกัน และสถานะการโจมตีของระเบียนระบุว่า "เปิดเผยต่อสาธารณะ: ไม่; ถูกใช้ประโยชน์: ไม่" ไม่มีสิ่งใดในเอกสารนั้นที่อธิบายว่าเอเจนต์ถูกควบคุมให้ไล่ไปตามเว็บไซต์ใด ๆ ซึ่งเป็นผลกระทบที่ Weizman รายงาน ข้อความทั้งสองอย่างเป็นจริงพร้อมกันได้ — CVE ครอบคลุม race condition ขณะที่ความสามารถที่โฆษณาบนหน้าเพจการตลาดเป็นช่องโหว่ที่พบเป็นรายการที่สองซึ่งจ่ายเงินแยกต่างหาก — แต่ไม่มีเอกสารของผู้จำหน่ายใดที่เผยแพร่จนถึงขณะนี้ที่อธิบายห่วงโซ่แบบ end-to-end นี้

"Zero clicks" หมายถึงหลังจากติดตั้งส่วนขยายแล้ว

ประโยคในตารางของ Forever Security นั้นถูกต้องและอ่านผิดได้ง่าย BragJack ไม่ใช่การโจมตีแบบ drive-by BleepingComputer, Cloud Security Alliance และ ThaiCERT ต่างขึ้นต้นด้วยเงื่อนไขเบื้องต้นเดียวกัน: ต้องติดตั้งส่วนขยายที่เป็นอันตรายไว้แล้วเท่านั้น สิ่งที่งานวิจัยแสดงคือ เมื่อติดตั้งแล้ว ไม่จำเป็นต้องคลิกเพิ่มเติมอีก — ส่วนขยายจะเข้าถึงเอเจนต์บนหน้าใดก็ตามที่ผู้ใช้กำลังอยู่ โดยไม่แสดงสิ่งใดเลย สำหรับ Comet และ Opera Neon ไม่ต้องมีปฏิสัมพันธ์ใด ๆ เลย ส่วน Edge และ Claude in Chrome การคลิกที่เอเจนต์เรียกร้องถูกสังเคราะห์ขึ้นโดยส่วนขยายผ่านสิทธิ์ดีบักเกอร์ ผู้ใช้จึงไม่ได้เป็นผู้ให้การคลิกนั้นเช่นกัน

ความแตกต่างนี้เป็นตัวกำหนดระดับความเสี่ยงที่จะเกิดขึ้นจริง การโจมตีต้องอาศัยผู้ใช้ที่ติดตั้งสิ่งที่เป็นอันตราย หรือส่วนขยายที่ได้รับความไว้วางใจอยู่ในสโตร์แล้วกลายเป็นอันตรายในภายหลัง และทั้งสองกรณีก็ไม่ใช่เกณฑ์ที่สูงเลย นี่จึงเป็นเหตุผลที่คำแนะนำของ CSA มุ่งเน้นไปที่การทำบัญชีรายการส่วนขยาย และการถือว่าสิทธิ์ declarativeNetRequest และ debugger เป็นสิทธิ์ระดับสูง นอกจากนี้ยังเป็นเหตุผลที่ยังไม่มีใครรายงานการโจมตี: หลักฐานแนวคิดที่ต้องติดตั้งส่วนขยายที่เป็นอันตรายนั้นเป็นการสาธิตความสามารถ ไม่ใช่แคมเปญ

การบังคับพรอมต์ และข้อโต้แย้งทางการขายที่แนบมาด้วย

คำศัพท์นี้สำคัญเพราะมันอธิบายว่าการป้องกันตั้งอยู่ตรงไหน Prompt injection ซ่อนคำสั่งไว้ในเนื้อหาที่โมเดลกำลังอ่านอยู่แล้ว การฝึกและตัวกรองของโมเดลคือแนวป้องกันที่ตั้งใจไว้ สิ่งที่ Weizman ทำคือเขียนพรอมป์ต์ทั้งหมด เลือกจังหวะที่มันมาถึง และส่งข้อความติดตามไปเรื่อย ๆ — จากต้นทางที่เอเจนต์ถูกสร้างมาให้ไว้วางใจ การกรองความปลอดภัยระดับโมเดลไม่เคยเข้ามาเกี่ยวข้อง เพราะไม่มีสิ่งใดในการแลกเปลี่ยนนี้ที่ดูเหมือนการโจมตี Forever Security เรียกสิ่งนี้ว่า prompt forcing

ข้อสรุปโดยนัยที่บริษัทได้มาก็คือ การตรวจจับที่ปลายทาง (endpoint detection) ก็มองไม่เห็นเช่นกัน เพราะไม่มีโค้ดอันตรายใดทำงาน: ซอฟต์แวร์ที่ถูกต้องตามกฎหมายกำลังถูกสั่งให้ทำสิ่งหนึ่งที่มันได้รับอนุญาตให้ทำอยู่แล้ว ข้อกล่าวอ้างนั้นมาพร้อมกับการเสนอขายผลิตภัณฑ์ — Forever Security ขายเอเจนต์ endpoint แบบ AI-native และบทความทั้งสองปิดท้ายด้วยการแนะนำผลิตภัณฑ์นี้ ข้อสังเกตที่ว่าเอเจนต์ที่ถูกยึดการควบคุมไม่สร้างลายเซ็นมัลแวร์ใด ๆ ไม่ได้ขึ้นอยู่กับการซื้ออะไรเลย แต่เป็นข้อโต้แย้งของนักวิจัยมากกว่าจะเป็นผลลัพธ์ที่วัดได้ และยังไม่มีหน่วยงานอิสระใดทดสอบว่าผลิตภัณฑ์ endpoint ชนิดใดก็ตามตรวจจับห่วงโซ่การโจมตีเหล่านี้ได้หรือไม่

สิ่งที่ได้รับการยืนยันแล้วคืออะไร และสิ่งใดที่ขึ้นอยู่กับนักวิจัยเพียงคนเดียว

คลังข้อมูลจัดเก็บรายการนี้เป็นช่องโหว่ ความรุนแรงสูง ภูมิภาคทั่วโลก ความเชื่อมั่นระดับ B — มีการบันทึกไว้ แต่มาจากแหล่งเดียวหรือแหล่งข้อมูลทุติยภูมิ — ไม่มีข้อโต้แย้ง โดยไม่มีการบันทึกความเสียหายที่แท้จริง เกรดดังกล่าวอธิบายหลักฐานมากกว่าความรุนแรงของบั๊ก และเส้นแบ่งนี้ปรากฏอย่างชัดเจนตลอดเรื่องราว

ยืนยันแล้ว ในความหมายที่ผู้ขายหรือบันทึกจากฝ่ายแรกระบุไว้:

• Google ปล่อยการแก้ไข Chrome เมื่อวันที่ 6 มกราคม 2026 ในเวอร์ชัน 143.0.7499.192 และ .193 และให้เครดิต Gal Weizman สำหรับรายงานที่ลงวันที่ 23 พฤศจิกายน 2025 ซึ่งข้อมูลนี้อยู่ในบันทึกการเปิดตัวของ Google เอง ไม่ใช่ในคำอธิบายของผู้วิจัยเกี่ยวกับเรื่องนี้

• CVE-2026-0628 มีอยู่จริง ได้รับการจัดระดับเป็น High โดย Google และ 8.8 โดยการเสริมข้อมูลของ CISA ในบันทึก NVD และถูกจัดประเภทว่าเป็นการบังคับใช้นโยบายที่ไม่เพียงพอในแท็ก WebView

• Microsoft เผยแพร่ CVE-2026-55945 เมื่อวันที่ 3 กรกฎาคม 2026 โดยระบุว่าเป็นช่องโหว่ race condition ระดับปานกลาง 4.2 ที่นำไปสู่การเปิดเผยข้อมูล ซึ่งได้รับการแก้ไขใน Edge 150.0.4078.48 และไม่มีการบันทึกการถูกใช้ประโยชน์

• การประเมิน SSVC ของ CISA ในบันทึก NVD ทั้งสองระบุว่า "exploitation: none" และไม่มีใคร — ผู้จำหน่าย นักวิจัย หรือผู้รายงาน — อ้างว่ามีการโจมตีที่เกิดขึ้นจริงในสภาพแวดล้อมจริง นั่นคือการไม่มีรายงาน ซึ่งไม่เหมือนกับหลักฐานยืนยันว่าไม่มี แต่เป็นสถานะของบันทึกในหกสัปดาห์หลังการเผยแพร่

หากพิจารณาจากคำชี้แจงของ Forever Security เพียงฝ่ายเดียว:

• exploit chain แยกตามเบราว์เซอร์ทุกชุด รวมถึงชุดกฎ DNR การลบการเปลี่ยนเส้นทางของ testing.perplexity.com ลำดับหน้าเพจการตลาดของ Edge และการคลิกปุ่ม onboarding ของ Claude ช่องโหว่ CVE อธิบายกลไกสองอย่าง; แต่ไม่ได้อธิบาย exploit chain เหล่านี้

• รายการผลกระทบฉบับเต็มของ Comet — ประวัติการเข้าชมเว็บ การอ่านไฟล์ในเครื่อง ข้อมูลโปรไฟล์ ภาพหน้าจอ — และข้อกล่าวอ้างเฉพาะเจาะจงว่าเอเจนต์ Comet ที่ถูกยึดการควบคุมอาจถูกสั่งด้วยภาษาอังกฤษธรรมดาว่าให้สรุปและส่งต่ออีเมล BleepingComputer รายงานว่าเป็นสาธิตของนักวิจัย โดยไม่มีแถลงการณ์ใดจาก Perplexity ที่ยืนยันหรือโต้แย้งเรื่องนี้

• การเข้าถึงกล้องและไมโครโฟนของ Chrome ซึ่ง BleepingComputer อธิบายว่าเข้าถึงได้ "ในทางทฤษฎี" และตาราง Forever ระบุว่าทำได้แล้ว

• ยอดรวมเงินรางวัล Forever Security ระบุว่าประมาณ $20,000 จากผู้ขายห้าราย; ส่วนตัวเลขต่อผลิตภัณฑ์ของบริษัทเองรวมกันได้ $20,500 ซึ่งเป็นประเด็นเชิงเลขคณิตที่ The Hacker News ชี้ไว้เช่นกัน ตัวเลขของ Claude in Chrome แตกต่างกันระหว่างสองโพสต์ของบริษัท ข้อความ “มากกว่า $20,000” ของ BleepingComputer สอดคล้องกับการตีความทั้งสองแบบ

• การที่ prompt forcing เป็นการโจมตีประเภทใหม่ แทนที่จะเป็นชื่อเรียกของกลุ่มบั๊กด้านการอนุญาตนั้น เป็นข้อกล่าวอ้างเชิงกรอบความคิด และ Cloud Security Alliance — ซึ่งนำข้อกล่าวอ้างนี้ไปใช้ — อธิบายรูปแบบพื้นฐานว่าเป็นช่องว่างเชิงสถาปัตยกรรมที่ผู้จำหน่ายหลายรายมีร่วมกัน ไม่ใช่เทคนิคใหม่ที่มีกลไกเฉพาะตัว

ผู้จำหน่ายสามรายจากห้ารายไม่เคยเผยแพร่บันทึกช่องโหว่เลยแม้แต่ครั้งเดียว CSA ตั้งข้อสังเกตว่า Perplexity, Opera และ Anthropic รับทราบและแก้ไข proof of concept เฉพาะเจาะจงโดยไม่มีคำแนะนำที่เทียบได้กับของ Google และ Microsoft และ Forever Security ไม่ระบุวันที่แก้ไขสำหรับทั้งสามรายนี้ ไม่มีการเผยแพร่การทำซ้ำโดยอิสระของห่วงโซ่ BragJack ใด ๆ Cyber Security News และ ThaiCERT ต่างก็กล่าวถึงการเปิดเผยข้อมูลซ้ำ และ ThaiCERT อ้างอิง BleepingComputer

อะไรเปลี่ยนแปลงไปหลังการเปิดเผย

สำหรับผู้ใช้ Chrome และ Edge คำตอบในทางปฏิบัติคือไม่มีอะไรต้องเปลี่ยนแปลงในวันที่ 16 กันยายน: การแก้ไขถูกส่งออกไปในเดือนมกราคมและกรกฎาคม และใครก็ตามที่ใช้ Chrome 143.0.7499.192 หรือใหม่กว่า หรือ Edge 150.0.4078.48 หรือใหม่กว่า ได้รับการแพตช์ไปแล้ว จังหวะเวลานั้นน่าคิดอยู่ บั๊กเหล่านี้ถูกปิดไปหลายเดือนก่อนที่เทคนิคซึ่งเชื่อมโยงบั๊กเหล่านั้นเข้าด้วยกันจะมีชื่อเรียก ซึ่งเป็นรูปแบบปกติของการเปิดเผยแบบประสานงาน และยังเป็นเหตุผลที่พาดหัวข่าวดูรุนแรงกว่าสถานะการแพตช์จริง

สำหรับ Comet, Opera Neon และ Claude in Chrome นั้นสถานะยังไม่ชัดเจนนัก ผู้จำหน่ายแต่ละรายจ่ายค่าหัวให้ และตามข้อมูลของ Forever Security และ CSA ได้แก้ไขพฤติกรรมที่แสดงให้เห็นแล้ว ไม่มีรายใดเผยแพร่คำแนะนำที่ระบุเวอร์ชันเฉพาะหรือวันที่ ดังนั้นจึงไม่มีหมายเลขบิลด์ให้ผู้ใช้ตรวจสอบได้ มีเพียงคำแนะนำทั่วไปให้อัปเดตอยู่เสมอ คำแนะนำของ CSA สำหรับองค์กรคือให้จัดทำบัญชีส่วนขยายที่มีสิทธิ์ declarativeNetRequest หรือ debugger จำกัดเบราว์เซอร์แบบเอเจนต์ให้ใช้เฉพาะโปรไฟล์ที่ไม่มีเซสชันที่ล็อกอินอยู่ในอีเมล โค้ด หรือการเงิน และสอบถามผู้จำหน่ายว่าพวกเขาแยกแยะอินพุตจากผู้ใช้จริงกับอินพุตสังเคราะห์อย่างไร คำแนะนำของ BleepingComputer สำหรับบุคคลทั่วไปนั้นง่ายกว่า คือ อัปเดตเบราว์เซอร์อยู่เสมอ ลบส่วนขยายที่คุณไม่รู้จักออก และถือว่าคำเตือน "อ่านและเปลี่ยนแปลงข้อมูลทั้งหมดของคุณบนทุกเว็บไซต์" เป็นคำเตือนตามความหมายที่มันเป็น

คำถามที่ยังไม่มีคำตอบไม่ใช่ห้าบั๊กได้รับการแก้ไขแล้วหรือไม่ แต่เป็นข้อสมมติด้านการออกแบบที่อยู่เบื้องหลังบั๊กเหล่านั้นได้รับการแก้ไขแล้วหรือไม่ ผลิตภัณฑ์เหล่านี้ทุกตัวถือว่าออริจินเว็บของบุคคลที่หนึ่งเป็นสถานที่ที่เชื่อถือได้สำหรับให้เอเจนต์ท้องถิ่นที่ได้รับสิทธิ์สูงรับคำสั่ง ในเบราว์เซอร์ที่ส่วนขยายใดก็ตามที่ติดตั้งไว้สามารถเขียนใหม่สิ่งที่ออริจินนั้นระบุได้ Forever Security โต้แย้งว่าวิธีแก้คือการตรวจสอบระดับเอนด์พอยต์ ขณะที่ CSA โต้แย้งให้มีการตรวจสอบความถูกต้องของออริจิน สิทธิ์ขั้นต่ำสุด ช่องทางคำสั่งที่แยกออกจากกัน และแหล่งที่มาของอินพุตที่ปลอมแปลงไม่ได้ ไม่มีผู้จำหน่ายรายใดในห้ารายกล่าวต่อสาธารณะ ในบันทึกใด ๆ ที่ตรวจสอบสำหรับบทความนี้ ว่าพวกเขาเปลี่ยนสถาปัตยกรรม แทนที่จะเปลี่ยนเพียงเส้นทางเฉพาะที่ Weizman เดินผ่าน

วันที่ในบันทึกคือวันที่ของการอธิบาย ไม่ใช่วันที่ของข้อบกพร่อง — และช่องว่างตรงนั้นคือเรื่องราว ส่วนขยายเดียว สิทธิ์สองอย่างที่ตัวบล็อกโฆษณาถือครองมานานหลายปี และผู้ให้บริการห้ารายที่แต่ละรายเชื่อว่าเว็บไซต์ของตนเองคือที่เดียวที่ผู้โจมตีไม่สามารถยืนอยู่ได้