BragJack: một tiện ích mở rộng trình duyệt chiếm quyền điều khiển các tác nhân AI trên năm trình duyệt lớn

Vào ngày 16 tháng 9 năm 2026, Gal Weizman, một nhà nghiên cứu bảo mật tại Forever Security, đã công bố BragJack: một bằng chứng khái niệm trong đó một tiện ích mở rộng trình duyệt thông thường — không có lỗ hổng zero-day, không có mô hình bị jailbreak, không có máy chủ nhà cung cấp bị xâm phạm — đã chiếm quyền kiểm soát các tác nhân AI được tích hợp trong năm sản phẩm dựa trên Chromium, Gemini Live trong Google Chrome, Copilot trong Microsoft Edge, Opera Neon, Perplexity Comet và Claude trong Chrome. Tiện ích mở rộng này không yêu cầu bất cứ điều gì kỳ lạ. Nó sử dụng content script và API declarativeNetRequest của Chromium, cùng hai quyền nằm trong hầu hết các trình chặn quảng cáo, để tiếp cận kênh riêng mà trang web của chính từng nhà cung cấp sử dụng để gửi chỉ dẫn đến tác nhân của mình. Weizman báo cáo rằng Comet là vụ xâm phạm có phạm vi rộng nhất, rằng Google và Microsoft đã phát hành bản sửa lỗi và gán CVE-2026-0628 và CVE-2026-55945, và rằng chưa quan sát thấy cuộc tấn công nào trong thực tế. Nó được xếp loại là một lỗ hổng, mức độ nghiêm trọng cao, trong kho lưu trữ sự cố AI, nơi mỗi bản ghi đều mang theo nguồn của nó, mức độ tin cậy và cờ tranh chấp.

Tiện ích mở rộng không phá vỡ mô hình. Nó phá vỡ kênh.

Cả năm sản phẩm đều được xây dựng theo cùng một cách, theo tài liệu kỹ thuật đi kèm Forever Security xuất bản cùng ngày. Mỗi sản phẩm có một “phần thân” bên trong trình duyệt có thể mở tab, đọc tệp cục bộ, chụp màn hình và nhấp vào các trang, cùng một “phần não” bên ngoài trình duyệt quyết định phần thân nên làm gì — máy chủ Gemini của Google cho Chrome, ứng dụng web perplexity.ai cho Comet, copilot.microsoft.com cho Edge, phần backend của Anthropic cho Claude in Chrome. Phần thân được thiết kế để chỉ chấp nhận hướng dẫn từ đúng một origin: trang web của chính nhà cung cấp. Origin đáng tin cậy duy nhất đó chính là toàn bộ mô hình bảo mật. Đó cũng là thứ mà một tiện ích trình duyệt được phép chạm tới.

Chromium cấp cho bất kỳ tiện ích đã cài đặt nào hai quyền gần như phổ quát. Một content script cho phép tiện ích chạy JavaScript bên trong một trang. API declarativeNetRequest, hay DNR, cho phép nó viết lại lưu lượng mạng — xóa một header phản hồi, chuyển hướng một yêu cầu script đến một máy chủ khác. Các trình duyệt dành nỗ lực thực sự để giữ hai quyền đó tránh xa các bề mặt đặc quyền, và bốn trong số năm nhà cung cấp đã làm được một phần công việc đó. Điều Weizman phát hiện, trong từng trường hợp, là một lỗ hổng ở phần mà họ đã để ngỏ.

Ông gọi kỹ thuật tổng quát này là DinNeR Serving: dùng DNR để làm yếu các tiêu đề bảo mật của một trang đáng tin cậy, rồi dùng DNR lần nữa để chuyển hướng một trong các yêu cầu script của trang đó tới một máy chủ do kẻ tấn công kiểm soát. Giờ đây trang chạy mã của kẻ tấn công, nhưng nó vẫn tin rằng mình là trang của nhà cung cấp, và tác nhân vẫn tin rằng nó đang nhận thông tin từ nhà cung cấp. Trên Chrome, Weizman báo cáo rằng các tiện ích đã bị chặn đúng cách khỏi việc gắn một content script hoặc trình gỡ lỗi vào ứng dụng Gemini nhúng, và rằng DNR là cơ chế duy nhất mà Chromium chưa mở rộng cùng biện pháp bảo vệ đó vào bên trong WebView. Việc loại bỏ Content-Security-Policy và nới lỏng chính sách cô lập tài liệu đã đủ để thay một script được phục vụ từ gstatic.com bằng script của chính ông, và từ bên trong chrome://glic, ông sau đó có thể gửi trực tiếp các loại thông điệp của chính tác nhân trình duyệt — tạo một tab tại địa chỉ file:///, đọc nó trở lại dưới dạng văn bản, PDF hoặc ảnh chụp màn hình, và lấy địa chỉ email và ảnh của hồ sơ đang đăng nhập.

Cùng một tiện ích đã làm gì, theo từng trình duyệt

Tiện ích này không phải năm công cụ. Nó là một manifest yêu cầu declarativeNetRequest và quyền truy cập host rộng, cùng với một tệp quy tắc riêng cho từng mục tiêu; chỉ các quy tắc thay đổi giữa các cuộc tấn công. Bảng của chính Forever Security là bản tóm tắt rõ ràng nhất về những gì mỗi chuỗi đạt được, và nó được tái hiện bên dưới. Hàng quan trọng nhất là Agent hijack: trong bốn trong số năm, kết quả được chứng minh không phải là đánh cắp dữ liệu mà là kiểm soát một tác nhân có thể hành động thay mặt người dùng bên trong các phiên đã đăng nhập.

Những chuỗi theo từng trình duyệt đó là phần của BragJack mà chưa có bên thứ hai nào kiểm chứng. BleepingComputer, Cyber Security News, Cloud Security Alliance và CERT quốc gia Thái Lan đều đã đưa tin về công bố này, và tất cả họ đều mô tả cơ chế vận hành theo cùng một cách, nhưng mỗi bên trong số họ đều đang mô tả bài viết của Forever Security chứ không phải kiểm thử nó. Thông báo ngày 21 tháng 9 năm 2026 của ThaiCERT dẫn BleepingComputer làm nguồn. Do đó, phần tiếp theo là lời kể của Weizman về bản proof of concept của chính anh ấy, mà đó là bản chất của một công bố, chứ không phải một kết quả được tái tạo độc lập.

Perplexity Comet: một tên miền thử nghiệm vẫn nằm trong danh sách tin cậy

Theo xếp hạng của chính nhà nghiên cứu, Comet là tệ nhất trong số năm, và lý do mang tính cấu trúc chứ không phải một sơ suất lập trình. Perplexity đã xây dựng một trình duyệt trong đó tác nhân nắm giữ chính các quyền của trình duyệt, nên một tác nhân bị chiếm quyền điều khiển sẽ thừa hưởng toàn bộ các quyền đó. Perplexity cũng đã làm phần việc phòng thủ mà những bên khác đã bỏ qua: tiện ích mở rộng hoàn toàn bị chặn không cho chạy trên perplexity.ai, đó là lý do Weizman nói rằng trình chặn quảng cáo không hoạt động ở đó.

Lỗ hổng nằm ở danh sách các origin mà tiện ích mở rộng agent sẽ chấp nhận lệnh từ đó. Theo bài viết kỹ thuật, danh sách đó có mười mục, chứ không phải một mục — perplexity.ai và biến thể www của nó, cùng các host testing, staging và preview trên cả perplexity.com lẫn perplexity.ai. Chỉ các host production đã được gia cố. testing.perplexity.com vẫn chấp nhận content script. Trở ngại còn lại là mọi domain trong số đó đều trả về chuyển hướng 302 tới perplexity.ai, nên trình duyệt không bao giờ dừng ở trang kiểm thử đủ lâu để một script gắn vào. Một quy tắc DNR xóa header Location sẽ loại bỏ trở ngại đó, và khi ấy content script có thể giao tiếp trực tiếp với tiện ích mở rộng agent thông qua kênh nhắn tin runtime mà nó cung cấp.

Theo Weizman, khi được yêu cầu, tác nhân sẽ liệt kê lịch sử duyệt web, mở các URL tùy ý bao gồm cả đường dẫn file:///, và chụp ảnh màn hình các thẻ đang hiển thị — rồi sau đó, thông qua một lệnh khởi chạy lượt chạy tác nhân từ một prompt được cung cấp, làm gần như mọi điều mà người dùng có thể làm. Prompt trình diễn của ông yêu cầu Comet truy cập perplexity.ai, tóm tắt năm email gần nhất và gửi bản tóm tắt đến một địa chỉ thứ hai. Ông cũng báo cáo rằng quyền truy cập file:/// đã được xử lý trong một tiết lộ trước đó về Comet nhưng bản sửa lỗi phân biệt chữ hoa chữ thường, nên FiLe:///etc/hosts vẫn hoạt động. Không điều nào trong số đó xuất hiện trong bất kỳ khuyến cáo nào của Perplexity; công ty đã trả tiền thưởng và, theo Forever Security, đã khắc phục hành vi đã được trình diễn cho họ.

Microsoft Edge: một trang tiếp thị, một cú nhấp mô phỏng và một cuộc đua

Edge là mục tiêu duy nhất chống trả, và đây là mục tiêu đáng học hỏi nhất trong số năm mục tiêu. Microsoft đã tách agent của mình thành chế độ "Think" chấp nhận lời nhắc và chế độ "Do" thao tác trên các trang, với việc hai chế độ này cố ý không thể chạy cùng lúc — một cơ chế an toàn thực sự, và là cơ chế ngăn việc ép buộc lời nhắc ngay từ thiết kế. Microsoft cũng đã gia cố trang tiếp thị tại microsoft.com/edge minh họa agent, bằng cách chỉ cho phép chức năng gửi lời nhắc đặc quyền của nó hoạt động khi thỏa ba điều kiện riêng biệt: một Content-Security-Policy không thể chỉ đơn giản là xóa bỏ, vì đối tượng đặc quyền không bao giờ được tạo khi thiếu header, một token cử chỉ người dùng mới, và một hàm điền vào ô nhập lời nhắc thay vì gửi nó.

Lời kể của Weizman là mỗi điều kiện đều bị hạ bởi một mẹo khác nhau. Thay vì xóa CSP, anh ta mở rộng chỉ thị frame-ancestors của nó để cho phép bất kỳ trang .com nào nhúng. Đối với token cử chỉ, anh ta thêm quyền debugger vào manifest và gửi một cú nhấp tổng hợp, thứ mà Chromium chấp nhận như một cử chỉ tự nhiên. Đối với cuộc đua, anh ta tắt cờ công cụ tác nhân, gọi hàm gửi lời nhắc, rồi bật lại cờ này trong khi tác nhân vẫn đang quyết định xem nó có được phép hành động hay không. Cài đặt đã tắt vào thời điểm lời nhắc bị ép buộc và bật vào thời điểm kiểm tra quyền chạy. Đó là điều mà Microsoft đã gán CVE-2026-55945 cho.

Số tiền tương xứng với công sức: Forever Security ghi nhận $3,000 cho phát hiện Edge Chromium và $2,000 cho lỗi race condition, tổng cộng $5,000 — đứng thứ ba trong số năm, sau mức $7,000 mỗi khoản từ Google và Perplexity.

Opera Neon và Claude in Chrome: hai lựa chọn dễ dàng

Opera Neon là trường hợp đòi hỏi ít nhất trong số năm. Agent của nó nhận lệnh từ opera.com, và khác với Google và Perplexity, cả hai đều đã chặn tiện ích mở rộng gắn content script vào origin tin cậy của agent mình, Opera chưa ngăn tiện ích mở rộng gắn content script vào miền đó, nên tiện ích mở rộng của Weizman có thể chèn một script ở đó và gọi trực tiếp kênh tin nhắn của agent bằng bất kỳ prompt nào nó muốn. Việc bỏ CSP khiến cùng cuộc tấn công đó có thể được nhúng vào một khung vô hình trên bất kỳ trang nào. Bài viết của ông bổ sung một chi tiết không có trong đưa tin của bất kỳ ai khác: Opera nói với ông rằng họ đã tự phát hiện lỗ hổng này một cách độc lập vào khoảng cùng thời điểm, và vẫn trả khoản tiền thưởng $900. Đó là tuyên bố của nhà cung cấp được nhà nghiên cứu thuật lại, không phải một phát hiện mà bất kỳ bên nào trong hai bên đã công bố bằng chứng.

Claude in Chrome là trường hợp khác biệt, vì đây là tiện ích mở rộng chứ không phải trình duyệt, và Forever Security nói thẳng như vậy: một tiện ích khai thác một tiện ích khác là rủi ro nhỏ hơn so với một tiện ích khai thác trình duyệt mà nó chạy trong đó. Cơ chế là một trang tiếp thị trên claude.ai có thể truyền các prompt tùy ý đến side panel, kết hợp với một content script kích hoạt khi nhấp vào nút onboarding và đọc prompt từ một thuộc tính data. Weizman tự đặt id và thuộc tính của phần body trang, gửi một cú nhấp tổng hợp thông qua quyền debugger, và side panel mở ra với prompt của anh ta trong đó. Anthropic đánh giá mức độ nghiêm trọng là trung bình, trả tiền thưởng, và theo Forever Security, đã ghi nhận công ty là bên đầu tiên báo cáo phát hiện cụ thể này. Hai bài đăng của Forever có chút khác biệt về số tiền — 600 đô la trong bảng chính, 500 đô la trong bài đồng hành kỹ thuật.

Hồ sơ của chính các nhà cung cấp thực sự nói gì

Chỉ hai trong số năm vấn đề đã tạo ra hồ sơ lỗ hổng công khai, và cả hai đều có trước bài viết BragJack vài tháng. Ghi chú phát hành kênh ổn định của Google cho ngày 6 tháng 1 năm 2026 liệt kê “Mức cao CVE-2026-0628: Thực thi chính sách không đầy đủ trong thẻ WebView. Được báo cáo bởi Gal Weizman vào ngày 2025-11-23”, và nêu các phiên bản 143.0.7499.192/.193 cho Windows và Mac và 143.0.7499.192 cho Linux. Mục trong Cơ sở dữ liệu Lỗ hổng Quốc gia, được công bố ngày 7 tháng 1 năm 2026, mô tả lỗ hổng này cho phép kẻ tấn công “đã thuyết phục người dùng cài đặt tiện ích độc hại chèn script hoặc HTML vào một trang đặc quyền thông qua Chrome Extension được tạo độc hại”, phân loại nó là CWE-862, thiếu cấp quyền, và có điểm CVSS 3.1 là 8.8. Điểm đó không phải của Google: nó đến từ việc CISA làm phong phú thêm hồ sơ, như The Hacker News đã lưu ý, và ghi chú của chính Google xếp vấn đề ở mức High.

Hồ sơ của Microsoft thậm chí còn hẹp hơn. CVE-2026-55945, được công bố ngày 3 tháng 7 năm 2026, là một tình trạng chạy đua CWE-362 với điểm CVSS 3.1 là 4.2, mức độ Trung bình. Tuyên bố tác động của Microsoft là "Tiết lộ thông tin", và phần FAQ của chính họ nói rằng thông tin bị tiết lộ là nội dung tệp. Bản dựng đã sửa là 150.0.4078.48, phát hành cùng ngày, và trạng thái khai thác trong hồ sơ ghi là "Công khai: Không; Đã bị khai thác: Không". Không có nội dung nào trong tài liệu đó mô tả một agent bị điều khiển xuyên qua các trang web tùy ý, tức là tác động mà Weizman báo cáo. Cả hai tuyên bố đều có thể cùng đúng — CVE bao trùm tình trạng chạy đua, trong khi khả năng trên trang tiếp thị là một phát hiện thứ hai được trả tiền riêng — nhưng không có tài liệu nào của nhà cung cấp được công bố cho đến nay mô tả chuỗi end-to-end đó.

"Không nhấp chuột" có nghĩa là sau khi tiện ích được cài đặt

Câu trong bảng của Forever Security là chính xác và dễ bị hiểu sai. BragJack không phải là một cuộc tấn công drive-by. BleepingComputer, Cloud Security Alliance và ThaiCERT đều mở đầu bằng cùng một điều kiện tiên quyết: tiện ích độc hại phải được cài đặt từ trước. Nghiên cứu cho thấy rằng một khi đã như vậy, không cần thêm cú nhấp nào — tiện ích tiếp cận agent trên bất kỳ trang nào người dùng đang ở, mà không hiển thị gì. Với Comet và Opera Neon, điều đó hoàn toàn không cần tương tác; với Edge và Claude in Chrome, cú nhấp mà agent yêu cầu đã được tiện ích tạo ra thông qua quyền debugger, nên người dùng cũng không cung cấp cú nhấp đó.

Sự phân biệt đó quyết định mức độ phơi nhiễm trong thực tế. Cuộc tấn công cần một trong hai: hoặc một người dùng cài thứ gì đó độc hại, hoặc một tiện ích vốn đã được tin cậy trên cửa hàng nhưng sau đó trở nên độc hại — và cả hai đều không phải là rào cản cao, đó là lý do các khuyến nghị của CSA tập trung vào việc kiểm kê tiện ích và coi các quyền declarativeNetRequest và debugger là đặc quyền. Đó cũng là lý do chưa ai báo cáo một cuộc tấn công: một bằng chứng khái niệm cần cài một tiện ích đối địch chỉ là minh chứng cho một năng lực, chứ không phải một chiến dịch.

Ép buộc prompt, và lập luận bán hàng đi kèm với nó

Thuật ngữ này quan trọng vì nó mô tả nơi các lớp phòng thủ đã nằm. Prompt injection ẩn các chỉ dẫn trong nội dung mà mô hình đang đọc; quá trình huấn luyện và các bộ lọc của mô hình chính là lớp chặn dự phòng dự kiến. Điều Weizman làm là viết toàn bộ prompt, chọn thời điểm nó đến và liên tục gửi các tin nhắn tiếp theo — từ một nguồn mà agent được thiết kế để tin cậy. Việc lọc an toàn ở cấp mô hình không bao giờ trở nên liên quan, vì không có gì trong cuộc trao đổi trông giống một cuộc tấn công. Forever Security gọi đây là prompt forcing.

Hệ quả mà công ty rút ra là phát hiện điểm cuối cũng không thể nhìn thấy nó, vì không có mã độc nào chạy: phần mềm hợp pháp đang được bảo làm điều mà nó được phép làm. Tuyên bố đó đi kèm với một lời chào hàng sản phẩm — Forever Security bán một tác nhân điểm cuối AI-native, và cả hai bài viết đều kết thúc bằng việc khuyến nghị nó. Nhận định rằng một tác nhân bị chiếm quyền điều khiển không tạo ra chữ ký mã độc nào không phụ thuộc vào việc mua bất cứ thứ gì, nhưng đó là lập luận của nhà nghiên cứu chứ không phải kết quả đo lường, và chưa có bên độc lập nào kiểm tra liệu bất kỳ sản phẩm điểm cuối nào có phát hiện được các chuỗi này hay không.

Điều gì đã được xác lập, và điều gì chỉ dựa trên một nhà nghiên cứu?

Kho lưu trữ phân loại mục này là lỗ hổng bảo mật, mức độ nghiêm trọng cao, khu vực toàn cầu, độ tin cậy B — được ghi nhận bằng tài liệu, nhưng chỉ từ một nguồn duy nhất hoặc nguồn thứ cấp — không bị tranh cãi, và không ghi nhận thiệt hại thực tế nào. Mức xếp hạng đó mô tả bằng chứng chứ không phải mức độ nghiêm trọng của các lỗi, và sự phân tách này xuyên suốt câu chuyện một cách rõ ràng.

Được xác lập, theo nghĩa mà nhà cung cấp hoặc hồ sơ bên thứ nhất nói như vậy:

• Google đã phát hành bản sửa lỗi Chrome vào ngày 6 tháng 1 năm 2026 trong phiên bản 143.0.7499.192 và .193, đồng thời ghi công Gal Weizman với một báo cáo đề ngày 23 tháng 11 năm 2025. Điều này nằm trong ghi chú phát hành của chính Google, không phải trong lời kể của nhà nghiên cứu về sự việc đó.

• CVE-2026-0628 tồn tại, được Google đánh giá là High và được CISA bổ sung thông tin trong bản ghi NVD với điểm 8.8, đồng thời được phân loại là thực thi chính sách không đầy đủ trong thẻ WebView.

• Microsoft đã công bố CVE-2026-55945 vào ngày 3 tháng 7 năm 2026 dưới dạng lỗ hổng điều kiện chạy đua mức Trung bình 4.2 dẫn đến rò rỉ thông tin, được khắc phục trong Edge 150.0.4078.48, với việc khai thác được ghi nhận là không có.

• Các đánh giá SSVC của CISA trong cả hai bản ghi NVD đều ghi "khai thác: không có", và không ai — nhà cung cấp, nhà nghiên cứu hay phóng viên — tuyên bố có một cuộc tấn công trong môi trường thực tế. Đó là sự thiếu vắng báo cáo, không đồng nghĩa với bằng chứng về sự không tồn tại, nhưng đó là tình trạng của hồ sơ sáu tuần sau khi công bố.

Chỉ dựa vào tài khoản của Forever Security mà thôi:

• Mọi chuỗi khai thác riêng theo từng trình duyệt, bao gồm các bộ quy tắc DNR, việc xóa chuyển hướng testing.perplexity.com, chuỗi trang tiếp thị của Edge và thao tác nhấp nút onboarding của Claude. Các CVE mô tả hai cơ chế; chúng không mô tả các chuỗi này.

• Danh sách tác động đầy đủ đối với Comet — lịch sử duyệt web, đọc tệp cục bộ, dữ liệu hồ sơ, ảnh chụp màn hình — và tuyên bố cụ thể rằng một tác nhân Comet bị chiếm quyền có thể được yêu cầu bằng tiếng Anh thông thường để tóm tắt và chuyển tiếp email. BleepingComputer đưa tin đây là phần trình diễn của nhà nghiên cứu; không có tuyên bố nào từ Perplexity xác nhận hay phủ nhận điều đó.

• Quyền truy cập camera và micrô của Chrome, thứ mà BleepingComputer mô tả là "có khả năng" truy cập được và bảng Forever liệt kê là đã đạt được.

• {{1}}Tổng tiền thưởng.{{/1}} Forever Security nêu khoảng 20.000 USD trên năm nhà cung cấp; các con số theo từng sản phẩm của chính công ty cộng lại thành 20.500 USD, một điểm về số học mà {{2}}The Hacker News{{/2}} cũng đã nêu. Con số của Claude in Chrome khác nhau giữa hai bài đăng của công ty. Cụm "hơn 20.000 USD" của {{3}}BleepingComputer{{/3}} phù hợp với cả hai cách hiểu.

• Việc prompt forcing là một lớp tấn công mới chứ không phải là tên gọi cho một nhóm lỗi phân quyền. Đó là một tuyên bố mang tính định khung, và Cloud Security Alliance — tổ chức đã tiếp nhận nó — mô tả mô thức nền tảng là một lỗ hổng kiến trúc tồn tại chung trên nhiều nhà cung cấp, chứ không phải một kỹ thuật mới có cơ chế riêng.

Ba trong số năm nhà cung cấp chưa từng công bố hồ sơ lỗ hổng nào cả. CSA lưu ý rằng Perplexity, Opera và Anthropic đã thừa nhận và khắc phục bản chứng minh khái niệm cụ thể mà không có khuyến cáo tương đương với của Google và Microsoft, và Forever Security không đưa ra ngày khắc phục cho ba nhà cung cấp đó. Chưa có bất kỳ bản tái tạo độc lập nào của chuỗi BragJack nào được công bố; Cyber Security News và ThaiCERT đều nhắc lại thông tin tiết lộ, và ThaiCERT trích dẫn BleepingComputer.

Điều gì đã thay đổi sau khi tiết lộ

Đối với người dùng Chrome và Edge, câu trả lời thực tế là không có gì cần phải thay đổi vào ngày 16 tháng 9: các bản sửa lỗi đã được phát hành vào tháng 1 và tháng 7, và bất kỳ ai dùng Chrome 143.0.7499.192 trở lên, hoặc Edge 150.0.4078.48 trở lên, đều đã được vá. Mốc thời gian đó đáng để ngẫm lại. Các lỗi đã được đóng lại nhiều tháng trước khi kỹ thuật gắn kết chúng với nhau có tên, đó là hình thái thông thường của công bố phối hợp và cũng là lý do tiêu đề đọc có vẻ tệ hơn tình trạng bản vá.

Đối với Comet, Opera Neon và Claude in Chrome, lập trường chưa rõ ràng bằng. Mỗi nhà cung cấp đã trả tiền thưởng và, theo Forever Security và CSA, đã xử lý hành vi được trình diễn. Không bên nào công bố khuyến cáo gắn với phiên bản cụ thể hoặc một ngày, nên không có số bản dựng nào để người dùng đối chiếu, chỉ có hướng dẫn chung là luôn cập nhật. Hướng dẫn của CSA cho các tổ chức là kiểm kê các tiện ích có quyền declarativeNetRequest hoặc debugger, giới hạn trình duyệt tác nhân vào các hồ sơ không có phiên đã xác thực tới email, mã nguồn hoặc tài chính, và hỏi các nhà cung cấp cách họ phân biệt đầu vào tổng hợp với đầu vào người dùng thật. Lời khuyên của BleepingComputer cho cá nhân đơn giản hơn: giữ trình duyệt được cập nhật, gỡ các tiện ích bạn không nhận ra, và coi "đọc và thay đổi toàn bộ dữ liệu của bạn trên mọi trang web" đúng như cảnh báo mà nó là.

Câu hỏi chưa được giải đáp không phải là liệu năm lỗi đã được sửa hay chưa. Mà là liệu giả định thiết kế đằng sau chúng đã được sửa hay chưa. Mỗi một trong những sản phẩm này đều coi một origin web bên thứ nhất là nơi đáng tin cậy để một tác nhân cục bộ có đặc quyền nhận lệnh, trong một trình duyệt mà bất kỳ tiện ích mở rộng nào đã cài đặt cũng có thể viết lại những gì origin đó nói. Forever Security lập luận rằng giải pháp là giám sát cấp điểm cuối; CSA lập luận ủng hộ xác thực origin, đặc quyền tối thiểu, các kênh lệnh biệt lập và nguồn gốc đầu vào không thể giả mạo. Không nhà cung cấp nào trong số năm nhà cung cấp đã nói công khai, trong bất kỳ hồ sơ nào được xem xét cho bài viết này, rằng họ đã thay đổi kiến trúc thay vì thay đổi đường dẫn cụ thể mà Weizman đã đi.

Ngày ghi trong hồ sơ là ngày của bản giải trình, không phải ngày của những lỗi — và chính khoảng cách đó mới là câu chuyện. Một tiện ích duy nhất, hai quyền mà các trình chặn quảng cáo đã nắm giữ suốt nhiều năm, và năm nhà cung cấp, mỗi bên đều tin rằng website của mình là nơi duy nhất kẻ tấn công không thể đặt chân tới.