Šta se desilo?

Bezbednosni istraživač Gal Weizman iz kompanije Forever Security predstavio je novu tehniku napada nazvanu BragJack, kojom je demonstrirana zloupotreba privilegovanih AI komponenti u pet browser okruženja pomoću zlonamerne ekstenzije. Mogućnosti su se razlikovale po proizvodu; tabela istraživača ne navodi preuzimanje AI agenta za Chrome, već pristup privilegovanim funkcijama.

Istraživanje je obuhvatilo Google Chrome sa Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon i Claude in Chrome.

Napadač prvo mora da navede korisnika da instalira zlonamernu ekstenziju. Istraživač opisuje demonstracije bez dodatnih klikova posle instalacije, ali taj uslov ne treba generalizovati: Microsoftov FAQ za povezani CVE opisuje scenario sa dve uzastopne korisničke radnje.

Istraživanje je rezultiralo sa dve CVE oznake i sa više od 20.000 dolara nagrada koje su istraživačima isplatili Google, Microsoft, Anthropic, Perplexity i Opera.

Koga pogađa?

Istraživanje je pokazalo različite mogućnosti napada na sledećim proizvodima:

  • Google Chrome sa Gemini Live
  • Perplexity Comet
  • Microsoft Edge
  • Opera Neon
  • Claude in Chrome ekstenzija

Najveći rizik postoji za korisnike koji instaliraju nepoznate ili nepouzdane ekstenzije, posebno one koje zahtevaju široke dozvole za pristup sajtovima i menjanje mrežnog saobraćaja.

Rizik je dodatno povećan kod agentic AI browsera, gde AI asistent može ne samo da čita sadržaj već i da klikće, otvara sajtove i izvršava druge radnje u ime korisnika.

Kako se zaštititi?

  • Koristite aktuelne podržane verzije browsera i AI ekstenzija. Chrome ispravka za CVE-2026-0628 objavljena je u 143.0.7499.192/.193 za Windows/macOS i 143.0.7499.192 za Linux; Edge ispravka za CVE-2026-55945 u 150.0.4078.48.
  • Uklonite ekstenzije koje ne prepoznajete ili više ne koristite.
  • Pažljivo proverite dozvole koje ekstenzija zahteva pre instalacije.
  • Posebno budite oprezni sa ekstenzijama koje mogu da čitaju i menjaju podatke na velikom broju sajtova.
  • Instalirajte ekstenzije samo od poznatih i proverenih izdavača.
  • U poslovnim okruženjima ograničite instaliranje neodobrenih browser ekstenzija kroz centralne politike.

Tehnički detalji

BragJack zloupotrebljava mogućnosti Chromium ekstenzija, uključujući declarativeNetRequest (DNR), koji ekstenzijama omogućava da utiču na mrežne zahteve, preusmeravanja i određena HTTP zaglavlja.

U slučaju Google Chrome-a, ranjivost CVE-2026-0628 omogućila je istraživaču da manipuliše resursima koje koristi Gemini komponenta i izvrši kod u njenom privilegovanom kontekstu.

Demonstrirani pristup omogućavao je čitanje lokalnih fajlova, pravljenje screenshot-ova i potencijalni pristup kameri i mikrofonu. Google je za ovu ranjivost isplatio nagradu od 7.000 dolara.

Kod Perplexity Comet-a istraživač je iskoristio test domen kojem je ugrađeni AI agent verovao. Manipulacijom preusmeravanja i ubacivanjem koda bilo je moguće pristupiti istoriji browsera, lokalnim fajlovima i screenshot-ovima, kao i direktno zadavati instrukcije AI agentu.

Microsoft Edge imao je drugačiji problem. Njegov AI agent razdvaja mogućnosti na „Think“ i „Do“ režime, ali je istraživač pronašao race condition koji je omogućavao slanje instrukcije u jednom režimu i njeno izvršavanje nakon prelaska u drugi. Ranjivost je označena kao CVE-2026-55945. Microsoft je ocenjuje sa 4,2 po CVSS 3.1, kao lokalno otkrivanje informacija uz visoku složenost napada i niske privilegije. Google Chrome problem klasifikuje kao High. Istraživanje ne potvrđuje aktivnu kampanju napada.

Slični problemi demonstrirani su i u Opera Neon-u i Claude in Chrome ekstenziji. Kod ovih proizvoda istraživač je uspeo da primora AI asistenta da izvršava instrukcije napadača, uključujući pristup informacijama dostupnim korisniku.

Istraživači ovu tehniku nazivaju „Prompt Forcing“. Za razliku od klasičnog prompt injection napada, zlonamerna instrukcija nije sakrivena u sadržaju koji AI čita - napadač dobija mogućnost da direktno šalje instrukcije kanalom kojem AI agent već veruje.

Zašto je važno?

AI asistenti u browserima dobijaju sve veće privilegije: mogu da čitaju stranice, pristupaju sadržaju, prave screenshot-ove i, kod agentic browsera, izvršavaju radnje u ime korisnika.

BragJack pokazuje da bezbednosni model browser ekstenzija mora da uzme u obzir i te nove privilegovane AI komponente. Ekstenzija koja ranije nije mogla direktno da pristupi lokalnom fajlu može pokušati da natera privilegovani AI agent da to uradi umesto nje.

Preporuka Sajber Radara

Ažurirajte browser na najnoviju verziju i pregledajte sve instalirane ekstenzije. Uklonite nepoznate i nepotrebne dodatke i posebno proverite one koji imaju široke dozvole za pristup web sajtovima ili menjanje mrežnog saobraćaja.

U poslovnim okruženjima instaliranje browser ekstenzija ne bi trebalo prepustiti isključivo korisnicima. Koristite centralne politike i dozvolite samo proverene ekstenzije koje su potrebne za rad.