Luka bezpieczeństwa BragJack: rozszerzenie przejęło KI w przeglądarce
Badacze bezpieczeństwa z firmy Forever Security odkryli nową metodę ataku o nazwie BragJack, która pozwalała zwykłemu rozszerzeniu przeglądarki przejąć wbudowane asystenty KI w pięciu popularnych przeglądarkach.
Zgodnie z raportami dotyczyło to Google Chrome z Gemini, Microsoft Edge, Opera Neon, Perplexity Comet oraz rozszerzenia Claude w Chrome. Według badacza Gala Weizmana potencjalnie narażony był każdy użytkownik, który korzystał z jednej z tych przeglądarek z zainstalowaną co najmniej jedną rozszerzeniem.
Inaczej niż w przypadku wcześniejszych ataków, badacze nie musieli ukrywać poleceń w treściach, które czyta KI. Zamiast tego wykorzystali słabość konstrukcyjną: rozszerzenia mogły przekroczyć granicę między sobą a wysoko uprawnionym agentem KI i wysyłać mu bezpośrednio polecenia, aż do ich wykonania.
W jednym z przykładów w Chrome i Gemini badacze mogli, według swojego raportu, nawet robić zrzuty ekranu, uzyskiwać dostęp do lokalnych plików oraz aktywować kamerę lub mikrofon – bez konieczności klikania przez użytkownika.
Firmy dotknięte problemem – Google, Microsoft, Opera, Anthropic i Perplexity – potwierdziły luki i wypłaciły zespołowi badawczemu nagrody w wysokości od 600 do 7000 dolarów amerykańskich. Google i Microsoft przyznały ponadto oficjalne identyfikatory bezpieczeństwa dla luk.
Zgodnie z podanymi informacjami wszystkie zgłoszone problemy zostały już naprawione. Nie wiadomo jednak, ile osób zostało rzeczywiście dotkniętych, zanim luki zostały zamknięte.
DLA CZEGO TO WAŻNE
Ten przypadek pokazuje, że zintegrowane z przeglądarkami asystenty KI mogą mieć szeroki dostęp do prywatnych danych, a nawet pozornie nieszkodliwe rozszerzenie może zostać wykorzystane do nadużycia tego dostępu.
CO MOŻESZ ZROBIĆ TERAZ
- Instaluj tylko nieliczne, zaufane rozszerzenia Przed zainstalowaniem sprawdź oceny i wydawcę rozszerzenia. Im mniej rozszerzeń używasz, tym mniejsza jest powierzchnia ataku dla takich ataków.
- Zawsze aktualizuj swoją przeglądarkę Włącz automatyczne aktualizacje w ustawieniach przeglądarki. Luki bezpieczeństwa, takie jak ta, są zwykle usuwane za pomocą aktualizacji, gdy tylko zostaną odkryte.
- Usuń nieużywane rozszerzenia Regularnie sprawdzaj ustawienia rozszerzeń w swojej przeglądarce i usuwaj wszystko, czego już nie używasz. Każde dodatkowe rozszerzenie to potencjalne wrota dla ataku.
- Bądź ostrożny z funkcjami KI w przeglądarce Przemyśl, do jakich danych wbudowany asystent KI powinien mieć dostęp lub możliwość modyfikacji, zanim zaczniesz z niego korzystać. Wyłącz funkcję, jeśli nie korzystasz z niej regularnie.