Rozszerzenia do przeglądarek od lat są jednym z potencjalnych źródeł problemów z bezpieczeństwem. Wraz z pojawieniem się asystentów AI ich możliwości mogą jednak stać się znacznie większym zagrożeniem. Pokazuje to BragJack – technika zaprezentowana przez badaczy Forever Security, dzięki której jedno złośliwe rozszerzenie było w stanie wykorzystać mechanizmy AI obecne w kilku różnych przeglądarkach.
Badacze przetestowali atak na Gemini Live w Google Chrome, Microsoft Edge, Opera Neon, Perplexity Comet oraz rozszerzeniu Claude in Chrome. W zależności od programu możliwe było m.in. wykonywanie zadań w imieniu użytkownika, odczytywanie lokalnych plików, wykonywanie zrzutów ekranu, dostęp do historii przeglądania, a w przypadku Chrome także do kamery i mikrofonu.
BragJack jest na razie przede wszystkim demonstracją podatności i całej nowej klasy potencjalnych ataków, a nie nazwą kampanii, która masowo infekuje komputery. Warto jednak zwrócić na niego uwagę, ponieważ dobrze pokazuje zmianę, jaka zachodzi wraz z dodawaniem agentów AI bezpośrednio do przeglądarek.
Co to jest BragJack?
BragJack to nazwa nadana przez badacza Gala Weizmana z Forever Security serii ataków wykorzystujących sposób, w jaki asystenci AI komunikują się z przeglądarką.
Nowoczesny asystent AI działający w przeglądarce może mieć znacznie większe możliwości niż zwykły chatbot otwarty w osobnej karcie. Może na przykład analizować stronę, którą właśnie przeglądamy, otwierać kolejne witryny, wykonywać czynności w naszym imieniu albo korzystać z informacji dostępnych w przeglądarce.
Można to uprościć do dwóch elementów:
- „mózg” – model AI działający po stronie dostawcy,
- „ciało” – część znajdująca się w przeglądarce i faktycznie wykonująca polecenia.
Problem pojawia się wtedy, gdy osoba atakująca znajdzie sposób, aby podsunąć „mózgowi” własne polecenia, które następnie zostaną wykonane przez uprzywilejowaną część przeglądarki.
Właśnie to udało się zrobić badaczom.
Do ataku potrzebne było rozszerzenie przeglądarki
To bardzo ważne zastrzeżenie. Samo wejście na przypadkową stronę internetową nie oznacza automatycznie przejęcia asystenta AI.
W pokazanym przez Forever Security scenariuszu konieczne było wcześniejsze zainstalowanie odpowiednio przygotowanego rozszerzenia.
Problem polega jednak na tym, że rozszerzenie nie musiało prosić użytkownika o jakieś wyjątkowo egzotyczne możliwości. Badacze wykorzystali funkcje, które są normalnie potrzebne wielu legalnym dodatkom.
Jedną z nich były content scripts, czyli możliwość uruchamiania kodu rozszerzenia na stronach internetowych. Korzystają z niej chociażby dodatki zmieniające wygląd witryn lub dodające do nich własne funkcje.
Drugim elementem było API declarativeNetRequest, pozwalające rozszerzeniom wpływać na sposób obsługi żądań sieciowych. Mechanizm jest wykorzystywany między innymi przez narzędzia blokujące reklamy i inne elementy stron.
Samo posiadanie takich uprawnień nie oznacza więc, że rozszerzenie jest niebezpieczne. BragJack pokazał natomiast, że w połączeniu z błędami w implementacji agentów AI można było wykorzystać je w sposób, którego twórcy przeglądarek nie przewidzieli.
Jak działa BragJack?
Poszczególne ataki różniły się pomiędzy przeglądarkami, ale ich ogólna zasada była podobna.
Asystent AI nie powinien przyjmować uprzywilejowanych poleceń z dowolnej strony internetowej. Przeglądarka ufa więc określonemu źródłu należącemu do producenta – przykładowo domenie Google, Microsoftu, Opery czy Perplexity.
Badacze znaleźli sposoby na wykorzystanie rozszerzenia do ingerowania właśnie w tę komunikację.
W przypadku Chrome można było zmodyfikować sposób ładowania zasobów używanych przez Gemini. W innych programach wykorzystano między innymi strony producentów posiadające specjalne uprawnienia albo pozostawione środowisko testowe.
W efekcie kod kontrolowany przez rozszerzenie mógł znaleźć się w miejscu, któremu agent AI ufał.
Najprościej można przedstawić to tak:
złośliwe rozszerzenie → przejęcie zaufanego kanału komunikacji → polecenie dla AI → AI wykonuje działanie w przeglądarce
To szczególnie istotne dlatego, że część niebezpiecznych działań wykonuje wtedy legalny komponent programu. Dla systemu nie musi to wyglądać jak klasyczny wirus uruchamiający podejrzany plik wykonywalny.
To nie jest typowy prompt injection
BragJack bywa porównywany do ataków typu prompt injection, ale badacze podkreślają istotną różnicę.
W klasycznym prompt injection atakujący umieszcza instrukcję w treści, którą później przeczyta model AI. Może to być na przykład niewidoczny dla użytkownika tekst umieszczony na stronie internetowej.
Tutaj mechanizm był inny.
Po przejęciu odpowiedniego kanału rozszerzenie mogło bezpośrednio wysyłać własne polecenia do agenta. Badacze nazwali tę technikę Prompt Forcing.
Atakujący nie próbuje więc przekonać modelu, żeby zignorował wcześniejsze instrukcje. Zamiast tego podszywa się pod źródło, z którego agent spodziewa się otrzymywać prawidłowe polecenia.
To ważna różnica także z punktu widzenia przyszłych zabezpieczeń agentów AI.
Które przeglądarki były podatne?
Badacze pokazali warianty ataku dla pięciu środowisk opartych na Chromium:
| Program / funkcja | Co udało się osiągnąć w demonstracji |
|---|---|
| Google Chrome z Gemini | dostęp do plików, zrzuty ekranu, dane profilu, kamera i mikrofon |
| Perplexity Comet | pliki lokalne, historia przeglądania, zrzuty ekranu, dane użytkownika i kontrola agenta |
| Microsoft Edge | przejęcie agenta AI i wykonywanie czynności |
| Opera Neon | przejęcie agenta AI |
| Claude in Chrome | sterowanie agentem Claude działającym w przeglądarce |
Zakres ataku był różny w zależności od konstrukcji konkretnego programu.
Nie oznacza to również, że każda aktualna instalacja wymienionych przeglądarek pozostaje podatna. Badanie obejmuje konkretne błędy odkrywane i zgłaszane producentom w różnych momentach.
Przykładowo podatność dotycząca Chrome otrzymała oznaczenie CVE-2026-0628 i została wcześniej poprawiona przez Google. Microsoft przypisał jednej z podatności Edge numer CVE-2026-55945; podatne były wersje starsze niż 150.0.4078.48.
Dlatego jednym z podstawowych zabezpieczeń pozostaje korzystanie z aktualnej wersji przeglądarki.
Co właściwie mógł zrobić przejęty agent AI?
Najciekawsze w badaniu nie jest samo przejęcie asystenta, ale to, co może zrobić agent mający szerokie uprawnienia.
W przypadku Perplexity Comet badaczowi udało się między innymi:
- wykonywać zrzuty ekranu,
- odczytywać historię odwiedzanych adresów,
- uzyskiwać informacje o użytkowniku,
- wydawać agentowi polecenia wykonywane w jego imieniu,
- odczytywać lokalne pliki.
W Chrome pokazano również możliwość skorzystania z kamery i mikrofonu.
W przypadku Opery Neon badacz demonstrował scenariusz, w którym agent otrzymywał polecenie znalezienia wiadomości e-mail związanych z finansami, przygotowania ich podsumowania i przekazania informacji dalej.
Nie oznacza to, że BragJack daje identyczne możliwości w każdej przeglądarce. Pokazuje jednak ważny problem: im więcej uprawnień otrzymuje agent AI, tym poważniejsze mogą być konsekwencje błędu pozwalającego przejąć nad nim kontrolę.
Dlaczego rozszerzenia przeglądarki stają się jeszcze ważniejsze dla bezpieczeństwa?
Do tej pory najczęściej ostrzegaliśmy przed rozszerzeniami dlatego, że mogą śledzić odwiedzane strony, wykradać dane albo modyfikować zawartość witryn.
Agent AI zmienia skalę problemu.
Jeżeli rozszerzeniu uda się nakłonić uprzywilejowanego agenta do wykonania zadania, może otrzymać możliwości, których samo rozszerzenie normalnie nie powinno posiadać.
Dlatego instalowanie dużej liczby dodatków „na wszelki wypadek” staje się coraz gorszym pomysłem.
Dotyczy to szczególnie rozszerzeń, które:
- pochodzą od mało znanego wydawcy,
- mają niewielką liczbę użytkowników,
- od dawna nie były aktualizowane,
- żądają dostępu do wszystkich odwiedzanych stron,
- wykonują bardzo prostą funkcję, mimo że wymagają szerokich uprawnień,
- zostały zainstalowane kiedyś i obecnie nie są już używane.
Nie oznacza to, że popularne rozszerzenie automatycznie jest bezpieczne. Dobrym nawykiem jest po prostu ograniczenie liczby dodatków do tych, z których rzeczywiście korzystamy.
Jak zabezpieczyć się przed BragJackiem i podobnymi atakami?
Nie trzeba rezygnować z przeglądarki ani całkowicie wyłączać funkcji AI. Warto natomiast zastosować kilka prostych zasad.
1. Zaktualizuj przeglądarkę
To pierwsza rzecz, którą warto zrobić.
Chrome, Edge i inne przeglądarki oparte na Chromium aktualizują się zwykle automatycznie, ale można ręcznie sprawdzić wersję w ustawieniach programu.
Po aktualizacji warto ponownie uruchomić przeglądarkę – dopiero wtedy nowa wersja zostaje w pełni uruchomiona.
2. Przejrzyj wszystkie zainstalowane rozszerzenia
W Chrome listę dodatków można znaleźć po wpisaniu w pasek adresu:
chrome://extensions
W Edge:
edge://extensions
Usuń przede wszystkim rozszerzenia, których nie kojarzysz albo z których już nie korzystasz.
Jeżeli masz kilkanaście lub kilkadziesiąt dodatków, taki przegląd może mieć większe znaczenie dla bezpieczeństwa niż instalowanie kolejnego programu ochronnego.
3. Sprawdź, do jakich stron rozszerzenie ma dostęp
Warto zwrócić uwagę przede wszystkim na dodatki mogące odczytywać i zmieniać dane na wszystkich odwiedzanych witrynach.
Takie uprawnienie czasami jest uzasadnione – przykładowo w przypadku blokera reklam. Prosty dodatek wykonujący jedną niewielką funkcję nie zawsze go jednak potrzebuje.
Jeżeli przeglądarka pozwala ograniczyć działanie rozszerzenia do wybranych witryn lub uruchamiać je dopiero po kliknięciu, warto z tego skorzystać.
4. Nie instaluj dodatku tylko dlatego, że znajduje się w oficjalnym sklepie
Obecność rozszerzenia w Chrome Web Store czy innym oficjalnym katalogu zmniejsza ryzyko instalowania zupełnie przypadkowego pliku, ale nie powinna być traktowana jako gwarancja bezpieczeństwa.
Przed instalacją warto sprawdzić wydawcę, historię aktualizacji, żądane uprawnienia oraz to, czy rozszerzenie rzeczywiście jest nam potrzebne.
5. Ostrożniej traktuj agentów AI, którzy mogą wykonywać działania
Jest różnica pomiędzy chatbotem odpowiadającym na pytania a agentem, który może otwierać strony, klikać przyciski, odczytywać dane czy wykonywać czynności na zalogowanych kontach.
Im większe możliwości posiada takie narzędzie, tym większe znaczenie mają jego zabezpieczenia.
Jeżeli nie korzystasz z funkcji agentowych, można rozważyć ich wyłączenie. W środowisku firmowym warto również zastanowić się nad ograniczeniem instalowania rozszerzeń przez użytkowników.
Czy użytkownicy Chrome i Edge mają powody do paniki?
Nie.
BragJack został opisany jako proof of concept, czyli demonstracja pokazująca, że określony scenariusz ataku był technicznie możliwy. Nie jest to informacja o masowej kampanii wykorzystującej BragJack przeciwko użytkownikom przeglądarek.
Dodatkowo atak wymagał obecności odpowiednio przygotowanego rozszerzenia.
Nie należy więc interpretować informacji o BragJacku jako ostrzeżenia, że samo uruchomienie Chrome, Edge czy Comet pozwala komuś natychmiast przejąć komputer.
Badanie jest jednak ważne z innego powodu.
BragJack pokazuje problem, który będzie wracał
Przeglądarki przez lata były projektowane tak, aby ograniczać możliwości stron internetowych i rozszerzeń. Agent AI wprowadza do tego modelu nowy element: program, który z założenia musi posiadać dostęp do wielu informacji i potrafi wykonywać czynności za użytkownika.
To bardzo wygodne rozwiązanie, ale jednocześnie atrakcyjny cel ataku.
BragJack pokazał, że zabezpieczenie samego modelu AI przed niebezpiecznymi odpowiedziami nie wystarczy. Równie ważne jest zabezpieczenie kanału, przez który agent otrzymuje polecenia, oraz kontrolowanie tego, jakie działania wolno mu później wykonać.
Dla zwykłego użytkownika wniosek jest znacznie prostszy: aktualizuj przeglądarkę, ogranicz liczbę rozszerzeń i nie dawaj dodatkom większego dostępu, niż rzeczywiście potrzebują.
W czasach, gdy przeglądarka coraz częściej nie tylko wyświetla internet, ale również wykonuje zadania w naszym imieniu, kontrola nad rozszerzeniami staje się jeszcze ważniejsza niż wcześniej.
