Vulnerabilidad BragJack: extensión secuestró la IA del navegador
Investigadores de seguridad de la empresa Forever Security han descubierto un nuevo método de ataque llamado BragJack, mediante el cual una extensión de navegador común podía tomar el control de los asistentes de IA integrados en cinco navegadores populares.
Según los informes, los afectados eran Google Chrome con Gemini, Microsoft Edge, Opera Neon, Perplexity Comet y la extensión Claude en Chrome. Según el investigador Gal Weizman, cualquier usuario que tuviera instalado alguno de estos navegadores con al menos una extensión podía estar potencialmente afectado.
A diferencia de los ataques anteriores, los investigadores no tuvieron que ocultar comandos en contenidos que la IA leyera. En su lugar, aprovecharon una debilidad estructural: las extensiones podían cruzar la barrera entre ellas mismas y el agente de IA de alto privilegio, enviándole comandos directos hasta que los ejecutaba.
En un ejemplo con Chrome y Gemini, los investigadores lograron, según su informe, incluso capturar pantallazos, acceder a archivos locales y activar la cámara o el micrófono sin que el usuario tuviera que hacer clic en nada.
Las empresas afectadas, Google, Microsoft, Opera, Anthropic y Perplexity, confirmaron las vulnerabilidades y pagaron al equipo de investigación primas de entre 600 y 7.000 dólares estadounidenses. Google y Microsoft también asignaron identificadores oficiales de seguridad a las vulnerabilidades.
Según las fuentes, todos los problemas reportados ya han sido solucionados. No se sabe cuántas personas resultaron afectadas antes de que se cerraran las vulnerabilidades.
POR QUÉ ES IMPORTANTE
Este caso demuestra que los asistentes de IA integrados en los navegadores pueden tener un acceso muy amplio a datos personales y que incluso una extensión que parezca inofensiva puede ser suficiente para abusar de ese acceso.
QUÉ PUEDES HACER AHORA
- Instala solo pocas extensiones de confianza Antes de instalar una extensión, revisa sus valoraciones y el editor. Cuantas menos extensiones uses, menor será la superficie de ataque para este tipo de ataques.
- Mantén tu navegador siempre actualizado Activa las actualizaciones automáticas en la configuración del navegador. Las vulnerabilidades de seguridad como esta suelen corregirse con una actualización una vez que se conocen.
- Elimina las extensiones que no uses Revisa regularmente la configuración de extensiones de tu navegador y elimina todo lo que ya no necesites. Cada extensión adicional es una posible puerta de entrada.
- Ten cuidado con las funciones de IA en el navegador Piensa qué datos puede ver o modificar el asistente de IA integrado antes de usarlo. Desactívalo si no lo necesitas con regularidad.