Güvenlik araştırmacısı Gal Weizman, tarayıcılara gömülü yapay zeka asistanlarını tek bir kötü amaçlı eklenti üzerinden ele geçirmeyi mümkün kılan yeni bir saldırı tekniği ortaya çıkardı. BragJack adı verilen kavram kanıtı, Google Chrome‘daki Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon ve Anthropic’in Claude in Chrome eklentisi olmak üzere beş farklı tarayıcı ve asistan üzerinde test edildi. Araştırma, beş şirketten toplam 20.000 dolardan fazla ödül kazandı ve iki ayrı CVE numarasıyla kayıtlara geçti. Google ve Microsoft, kendilerine bildirilen açıkları çözdüğünü doğruladı.
Güvenilir tarayıcı bileşenleri nasıl istismar edildi?
Weizman, modern yapay zeka destekli tarayıcıları bir “beyin” ve bir “beden” olarak tanımlıyor: yapay zeka modeli talimatları işlerken, ayrıcalıklı tarayıcı bileşenleri sekmelere erişme, ekran görüntüsü alma veya sitelerle etkileşim kurma gibi eylemleri gerçekleştiriyor. Araştırmacıya göre sorun, eklentilerin bu ayrıcalıklı bileşenlerin güvendiği web trafiğini ve sayfaları manipüle edebilmesinden kaynaklanıyor. Tüm testlerde aynı eklenti kullanıldı ve Chromium’un declarativeNetRequest (DNR) özelliği istismar edildi; bu özellik eklentilerin ağ isteklerini, yanıt başlıklarını değiştirmesine ve kaynakları yeniden yönlendirmesine izin veriyor. Chrome’da eklentiler doğrudan chrome://glic bileşenine veya Gemini sitesine kod enjekte edemese de, DNR kuralları Gemini web uygulamasının isteklerini araya girerek yakalayabildi. Weizman güvenlik başlıklarını zayıflatıp bir JavaScript kaynağını yönlendirerek Gemini bağlamı içinde kod çalıştırdı ve Chrome’un yetkili yapay zeka bileşeniyle doğrudan iletişime geçti. Bu erişim yerel dosyaları okuma, ekran görüntüsü alma ve potansiyel olarak kamera ile mikrofona ulaşmayı kapsıyordu. Chrome ekibi bu bulguya CVE-2026-0628 numarasını verip 7.000 dolar ödül ödedi.
Comet ve Edge’de saldırı nasıl ilerledi?
Perplexity Comet ve Opera Neon gibi ajan tabanlı tarayıcılarda durum daha ciddi, çünkü buradaki yapay zeka asistanları içerik okumakla kalmayıp web siteleri üzerinde işlem yapabiliyor. Weizman, Comet’in yerleşik ajan eklentisinin, ana perplexity.ai sitesiyle aynı korumaya sahip olmayan bir test alt alan adına güvendiğini fark etti. Bu alana yönlendirmeyi DNR ile kaldırarak içerik betiği enjekte etti ve ajanla doğrudan iletişim kurdu; sonuçta tarama geçmişi, ekran görüntüleri, yerel dosyalar ve ajana komut gönderme yeteneği ele geçirildi. Araştırmacı, ajanı Perplexity’ye yönlendirip kurbanın e-postalarını özetleyip başka bir adrese göndermeye zorlayarak saldırıyı kanıtladı. Microsoft Edge’de ise şirketin ajanı aynı anda talimat almasını ve eylem yapmasını önlemek için “Düşün” ve “Yap” modlarına bölmüştü; Weizman kısa süreliğine bu kısıtlamayı devre dışı bırakan bir yarış durumu (race condition) buldu ve buna CVE-2026-55945 numarası verildi. Benzer açıklar Opera Neon ve Claude in Chrome’da da gösterildi.
Bunlar da İlginizi Çekebilir
Prompt Forcing nedir, kullanıcılar ne yapmalı?
Weizman, kullandığı tekniği “Prompt Forcing” olarak adlandırıyor. Klasik prompt enjeksiyonundan farklı olarak bu yöntem, saldırganın ajana tam bir talimat seti ve takip komutları vermesine olanak tanıyor; ajan bu talimatları kendi ayrıcalıklarıyla meşru tarayıcı eylemlerine dönüştürüyor. Bu durum uç nokta savunmaları için önemli, çünkü nihai eylemi kötü amaçlı bir kod değil, meşru yazılımın kendisi gerçekleştiriyor. Araştırmacı, kullanıcıların tarayıcılarını güncel tutmasını, tanımadıkları veya kullanmadıkları eklentileri kaldırmasını ve “tüm sitelerdeki verilerinizi okuma ve değiştirme” gibi geniş izin isteyen eklentilere karşı temkinli olmasını öneriyor. BragJack, tarayıcılara giderek daha yetenekli yapay zeka ajanlarının entegre edilmesiyle birlikte, ele geçirilmiş tek bir eklentinin artık sadece web içeriğini değil, dosyaları, tarama verilerini ve kullanıcı adına yapılan eylemleri de tehdit edebileceğini gösteriyor; bu nedenle tarayıcı üreticilerinin ajan mimarilerini yeniden gözden geçirmesi kaçınılmaz görünüyor.
Kaynak: BleepingComputer
YORUMLAR
(0)