Turvaauk BragJack: laiendus võttis üle brauseri KI
Forever Security ettevõtte turvauurijad avastasid uue rünnakumeetodi nimega BragJack, millega tavaline brauseri laiendus suutis üle võtta viie populaarse brauseri sisse ehitatud KI-assistentid.
Hõlmatud olid Google Chrome Geminiga, Microsoft Edge, Opera Neon, Perplexity Comet ja Chrome’i Claude laiendus. Iga kasutaja, kes oli paigaldanud ükskõik millise neist brauseritest vähemalt ühe laiendusega, oli uurija Gal Weizmani sõnul potentsiaalselt ohus.
Eelnevatest rünnakutest erinevalt ei pidanud uurijad peitma käske sisu sisse, mida KI loeb. Asendaks kasutati ehituslikku nõrkust: laiendused suutsid ületada piiri endi ja kõrge õigustega KI-agendi vahel ning saata talle otse käske, kuni see need täitis.
Ühes näites Chrome’i ja Geminiga suutsid uurijad oma aruande järgi isegi ekraanipildid teha, juurdepääsu saada kohalikule failidele ning kaamera või mikrofoni sisse lülitada ilma, et kasutaja oleks midagi klõpsanud.
Hõlmatud ettevõtted Google, Microsoft, Opera, Anthropic ja Perplexity kinnitasid igaühe turvaaugu ning maksid uurimismeeskonnale preemiaid 600 kuni 7000 USA dollarit. Google ja Microsoft andsid lisaks ametlikud turvakoodid avastatud aukte kohta.
Allikate andmetel on kõik teadaolevad probleemid nüüd parandatud. Kui palju inimesi tegelikult mõjutatud olid, enne kui auud suleti, ei ole teada.
MIKS SE ON OLULINE
See juhtum näitab, et brauserisse integreeritud KI-assistentidel võib olla laialdane juurdepääs isiklikele andmetele ja et juba üks näiliselt süütu laiendus võib seda juurdepääsu ära kasutada.
MIDA SA NÜÜD TEHA VÕID
- Paigalda ainult mõned usaldusväärsed laiendused Kontrolli enne paigaldamist laienduse hinnanguid ja väljaandjat. Mida vähem laiendusi kasutad, seda väiksem on rünnakupind selliste rünnakute jaoks.
- Hoia oma brauser alati ajakohane Luba automaatsed uuendused brauseri seadetes. Turvaauke nagu need suletakse tavaliselt uuendusega, kui need avastatakse.
- Eemalda kasutamata laiendused Vaata regulaarselt brauseri laienduste seadistustesse ja kustuta kõik, mida sa ei vaja. Iga lisalaiendus on võimalik sissemurde värav.
- Ole ettevaatlik KI-funktsioonidega brauseris Mõtle läbi, milliseid andmeid sisse ehitatud KI-assistent võib näha või muuta, enne kui sa seda kasutad. Lülita funktsioon välja, kui sa seda regulaarselt ei vaja.