Rozszerzenie z piekła rodem. Przejmie ci pliki, mikrofon a nawet kamerę

Badacze z firmy Forever Security pokazali, że zwykłe rozszerzenie do przeglądarki internetowej jest w stanie przejąć kontrolę nad asystentami AI i to w 5 produktach związanych z silnikiem Chromium. Problem obejmował Gemini Live w Chrome, Perplexity Comet, Microsoft Edge, Opera Neon oraz rozszerzenia Claude in Chrome.

W zależności od narzędzia atakujący mógł m.in. sterować agentem AI, odczytywać lokalne pliki, robić zrzuty ekranu, a w przypadku Chrome uzyskać także dostęp do kamery i mikrofonu. Nie był to jednak prawdziwy atak, tylko kontrolowana symulacja, która miała udowodnić, jak nawet pozornie zwykłe wtyczki do przeglądarek mogą być groźne. Tutaj istotny był czynnik ludzki, bowiem użytkownik musiał wcześniej pobrać i zainstalować złośliwą wtyczkę.

Jak działał mechanizm

Mechanizm wykorzystywał sposób działania wirtualnych asystentów AI. Ich część odpowiedzialna za wykonywanie poleceń działała wewnątrz przeglądarki i uzyskuje dostęp m.in. do ekranu, otwiera pliki, czy korzysta z urządzeń. Natomiast właściwy model AI działa na serwerach producenta. System powinien przyjmować polecenia wyłącznie z określonej, zaufanej strony internetowej, aczkolwiek Forever Security znalazło sposób na przejęcie tej komunikacji.

Badacze z firmy Forever Security pokazali, że zwykłe rozszerzenie do przeglądarki internetowej jest w stanie przejąć kontrolę nad asystentami AI i to w 5 produktach związanych z silnikiem Chromium.

Do ataku wystarczały dwa popularne uprawnienia rozszerzeń. Jedno pozwalało modyfikować zawartość stron, a drugie, declarativeNetRequest, umożliwiało zmianę ruchu sieciowego. Połączone mechanizmy pozwalały wstrzyknąć własny kod do zaufanej strony i wysyłać polecenia do asystenta tak, jakby pochodziły od producenta.

Najgorzej sytuacja wyglądała w przypadku agenta AI od Perplexity Comet, ponieważ posiada on szerokie uprawnienia działania na komputerze. Po przejęciu można było odczytywać lokalne pliki, sprawdzać historię odwiedzanych stron, wykonywać zrzuty ekranu oraz wykonywać działania w imieniu użytkownika. Chrome również pozwalał na odczytywanie plików i dostęp do kamery oraz mikrofonu, natomiast Edge, Opera Neon i Claude in Chrome umożliwiały przejęcie kontroli nad agentem AI.

Podatności były już wcześniej

Chrome miał już wcześniej podobny problem, oznaczony jako CVE-2026-0628 i naprawiony w wersji 143.0.7499.192. Microsoft usunął natomiast lukę CVE-2026-55945 w Edge 150.0.4078.48. Pozostałe trzy przypadki nie otrzymały numerów CVE, choć ich producenci wypłacili badaczom nagrody za zgłoszenia.

Forever Security otrzymało łącznie około 20,5 tys. dolarów nagród, w tym 7 tys. dolarów za Chrome, 7 tys. za Comet, 5 tys. za Edge, 900 dolarów za Opera Neon oraz 600 dolarów za Claude in Chrome.

Istotny problem

Badanie pokazuje, że rozszerzenie mające stosunkowo niewielkie uprawnienia może próbować dotrzeć do znacznie potężniejszych funkcji agenta AI działającego wewnątrz przeglądarki. W porównaniu ze zwykłymi rozszerzeniami problem jest poważniejszy, ponieważ współczesne agenty potrafią wykonywać działania, które wcześniej wymagały bezpośredniej ingerencji użytkownika.