BragJack 攻击通过恶意扩展劫持 AI 浏览器代理

Forever Security 的安全研究员 Gal Weizman 披露了一种新的攻击技术，可通过单个恶意浏览器扩展劫持流行浏览器中内置的 AI 助手。

该技术名为 BragJack，其概念验证已针对五款基于 Chromium 的浏览器或浏览器助手进行了演示：Google Chrome 的 Gemini Live、Perplexity Comet、Microsoft Edge、Opera Neon 以及 Anthropic 的 Claude in Chrome。

这项研究从五家厂商共获得超过 20,000 美元的漏洞赏金，金额从 600 美元到 7,000 美元不等，并产生了两个 CVE。

该攻击要求恶意扩展已安装在受害者浏览器中。

一旦安装完成，研究人员展示这种滥用可在无需用户交互的情况下运行，让扩展控制 AI 浏览器代理，并滥用其现有权限来访问敏感信息或代表受害者行事。

Google 和 Microsoft 此后均已修复分配给它们的漏洞。

滥用受信任的浏览器组件

这些攻击利用了 AI 助手日益被接入浏览器并被赋予浏览器级能力的方式。

在其文章中，Weizman 将这些系统描述为拥有 "大脑" 和 "身体"。AI 模型处理指令并决定应该发生什么。

随后由一个具有特权的浏览器组件执行操作，例如访问标签页、读取内容、截屏或与网站交互。

据该研究员称，问题在于浏览器扩展可以操纵这些特权组件所信任的网络流量和页面。

所有五个目标都使用了同一个扩展，它依赖于 Chromium 的 declarativeNetRequest (DNR) 功能。DNR 允许扩展修改网络请求的处理方式，包括更改响应头和重定向资源。

在 Chrome 攻击中，Weizman 发现，尽管扩展被阻止直接接触具有特权的 chrome://glic 组件或向 Google 的 Gemini 站点注入脚本，但 DNR 规则仍能拦截嵌入式 Gemini Web 应用发出的请求。

通过削弱安全头并重定向一个 JavaScript 资源，他在 Gemini 上下文中执行了代码，直接与 Chrome 的特权 AI 组件通信，而非走 Gemini 的正常请求流程。

Weizman 表示，由此获得的访问权限可以读取本地文件、触及 Web 内容、截屏，并可能触及浏览器的摄像头和麦克风。Chrome 将该发现编号为 CVE-2026-0628，并支付了 7,000 美元赏金。

从读取数据到控制 AI 代理

针对 Perplexity Comet 和 Opera Neon 等代理式浏览器的攻击更进一步，因为它们的代理能够对网站采取行动，而不仅仅是读取。

对于 Comet，Weizman 发现该浏览器内置的代理扩展信任多个 Perplexity 域名，其中包括一个未获得与主站 perplexity.ai 相同保护的测试域名。通过用 DNR 移除指向该域名的重定向，他加载了它并注入了一个能够与内置代理通信的内容脚本。

由此获得的访问权限包括浏览历史、截屏、本地文件，以及向代理发送指令的能力。Weizman 演示了迫使代理访问 Perplexity、总结受害者的电子邮件，并将结果发送到另一个地址。

Microsoft Edge 则呈现出不同的挑战。Microsoft 已将其代理拆分为 "Think" 和 "Do" 两种模式，以阻止它同时接受任意指令和采取行动。

Weizman 发现了一个竞态条件，可在强制输入提示时短暂禁用该限制，然后在代理检查其状态之前重新启用行动能力。Microsoft 将该竞态条件编号为 CVE-2026-55945。

针对 Opera Neon 和 Claude in Chrome 也演示了类似的漏洞，不过后者本身是一个浏览器扩展而非浏览器。

今年早些时候，本人在 Manifold Security 的工作中报告了 Claude for Chrome 的一个相关弱点：该扩展在合成点击上运行其内置 AI 工作流，而未验证这些点击是否来自真实用户，且被标记的代码在八个版本之后仍可复现。

此前还有 ClaudeBleed，这是 LayerX 在 4 月披露的同一扩展中的一个更早的漏洞，其中 Claude for Chrome 信任 claude.ai 来源，而非检查实际驱动它的是哪个脚本。

"Prompt Forcing"

Weizman 将用于夺取这些代理的技术称为 Prompt Forcing。

与传统的提示注入（攻击者试图将恶意指令混入 AI 正在读取的内容中）不同，Prompt Forcing 让攻击者能够将整个提示及后续指令交给代理。随后，代理利用其现有权限将这些指令转化为合法的浏览器操作。

该研究员认为，这对端点防御很重要，因为最终操作并非由传统的恶意代码执行。而是合法软件被指示去执行攻击。

随着浏览器和其他端点应用获得能力更强的 AI 代理，BragJack 指向了一个日益严峻的挑战。一个传统上只能看到 Web 内容的被入侵扩展，在某些设计中可能成为通往读取文件、浏览数据并代表用户在网站上采取行动的软件的一条路径。

用户应保持浏览器完全更新，移除不认识或不再使用的扩展，并对宽泛的 "读取和更改你在所有网站上的所有数据" 权限提示保持谨慎。

除其文章外，Weizman 还发布了一份涵盖全部五种攻击的完整技术剖析。