Bezpečnostní trhlina BragJack: rozšíření ovládlo KI v prohlížeči
Výzkumníci ze společnosti Forever Security objevili nový typ útoku zvaný BragJack, který umožnil běžnému rozšíření prohlížeče převzít kontrolu nad vestavěnými asistenty KI v pěti oblíbených prohlížečích.
Podle zpráv byli zasaženi Google Chrome s Gemini, Microsoft Edge, Opera Neon, Perplexity Comet a rozšíření Claude v Chrome. Každý uživatel, který měl nainstalovaný některý z těchto prohlížečů spolu s alespoň jedním rozšířením, byl podle výzkumníka Gala Weizmana potenciálně ohrožen.
Na rozdíl od dosavadních útoků výzkumníci nemuseli do obsahu, který KI čte, vkládat skryté příkazy. Místo toho využili konstrukční slabinu: rozšíření mohla překročit hranici mezi sebou a vysoce privilegovaným agentem KI a posílat mu přímo příkazy, až je vykonal.
V jednom příkladu s Chrome a Gemini mohli výzkumníci podle své zprávy dokonce pořizovat snímky obrazovky, přístupovat k místním souborům a aktivovat kameru nebo mikrofon, aniž by uživatel musel na cokoli kliknout.
Zasažené společnosti Google, Microsoft, Opera, Anthropic a Perplexity potvrdily zranitelnosti a vyplatily výzkumnému týmu odměny v rozmezí od 600 do 7 000 USD. Google a Microsoft navíc přidělily úřední bezpečnostní identifikátory pro tyto chyby.
Podle dostupných informací byly všechny hlášené problémy mezitím opraveny. Není však známo, kolik lidí bylo skutečně zasaženo, než byly chyby odstraněny.
PROČ JE TO DŮLEŽITÉ
Tento případ ukazuje, že asistenti KI integrovaní do prohlížečů mohou mít široký přístup k osobním údajům a že i zdánlivě neškodné rozšíření může tento přístup zneužít.
CO MŮŽETE UDĚLAT NYNÍ
- Instalujte pouze několik důvěryhodných rozšíření Před instalací zkontrolujte hodnocení a vydavatele rozšíření. Čím méně rozšíření používáte, tím menší je plošina pro útoky.
- Udržujte svůj prohlížeč vždy aktuální Povolte automatické aktualizace v nastavení prohlížeče. Bezpečnostní chyby, jako je tato, se obvykle opravují aktualizací, jakmile jsou známy.
- Odstraňte nepoužívaná rozšíření Pravidelně kontrolujte nastavení rozšíření ve svém prohlížeči a odstraňte vše, co už nepotřebujete. Každé další rozšíření je potenciální vstupní branou pro útočníky.
- Buďte opatrní s funkcemi KI v prohlížeči Zvažte, jaká data může vestavěný asistent KI vidět nebo měnit, než ho začnete používat. Funkci vypněte, pokud ji pravidelně nepotřebujete.