Turvallisuusaukko BragJack: laajennus kaappasi selaimen tekoälyn
Forever Security -yhtiön turvallisuustutkijat ovat havainneet uuden hyökkäysmenetelmän nimeltä BragJack, jonka avulla tavallinen selaimen laajennus pystyi ottamaan haltuunsa viiden suositun selaimen sisäänrakennetut tekoälyavustajat.
Mukaan lukien haavoittuneita olivat Google Chromen Gemini, Microsoft Edge, Opera Neon, Perplexity Comet sekä Claude-laajennus Chromessa. Tutkija Gal Weizmanin mukaan jokainen käyttäjä, jolla oli jokin näistä selaimista ja vähintään yksi laajennus asennettuna, oli mahdollisesti vaarassa.
Toisin kuin aiemmissa hyökkäyksissä tutkijoiden ei tarvinnut piilottaa komentoja sisältöön, jota tekoäly lukee. Sen sijaan he hyödynsivät rakenteellista heikkoutta: laajennukset pystyivät ylittämään rajan itsensä ja korkeaoikeuksisen tekoälyagentin välillä ja lähettämään sille suoria käskyjä, kunnes se suoritti ne.
Esimerkiksi Chromessa ja Geminessä tutkijat pystyivät raporttinsa mukaan jopa ottamaan kuvakaappauksia, pääsemään paikallisiin tiedostoihin sekä aktivoimaan kameran tai mikrofonin ilman, että käyttäjän tarvinnut klikata mitään.
Haavoittuneet yritykset Google, Microsoft, Opera, Anthropic ja Perplexity vahvistivat haavoittuvuudet ja maksoivat tutkimusryhmälle palkkioita 600–7 000 Yhdysvaltain dollarin välillä. Google ja Microsoft myönsivät lisäksi viralliset turvallisuustunnisteet haavoittuvuuksille.
Lähteiden mukaan kaikki ilmoitetut ongelmat on nyt korjattu. Ei tiedetä, kuinka monta ihmistä oli todellisuudessa vaarassa ennen kuin aukot suljettiin.
MIKSI TÄMÄ ON TÄRKEÄÄ
Tapaus osoittaa, että selaimiin integroiduilla tekoälyavustajilla voi olla laaja pääsy henkilökohtaisiin tietoihin, ja että jopa vaarattomalta näyttävä laajennus voi riittää tämän pääsyn väärinkäyttämiseen.
MITÄ VOIT TEHDÄ NYT
- Asenna vain muutama luotettava laajennus Tarkista ennen asennusta laajennuksen arvioinnit ja julkaisija. Mitä vähemmän laajennuksia käytät, sitä pienempi on hyökkäyksen kohteeksi joutumisen riski.
- Pidä selaimesi aina ajan tasalla Ota käyttöön automaattiset päivitykset selaimen asetuksissa. Turvallisuusaukot, kuten tämä, korjataan yleensä päivityksellä, kun ne tulevat julki.
- Poista käyttämättömät laajennukset Tarkista säännöllisesti selaimesi laajennusasetukset ja poista kaikki, mitä et enää tarvitse. Jokainen ylimääräinen laajennus on mahdollinen hyökkäysreitti.
- Ole varovainen selaimen tekoälytoimintojen kanssa Mieti etukäteen, mitä tietoja selaimeen integroitu tekoälyavustaja saa nähdä tai muokata, ennen kuin käytät sitä. Sammuta toiminto, jos et tarvitse sitä säännöllisesti.