Wprowadzenie do problemu / definicja
BragJack to technika ataku pokazująca, że złośliwe rozszerzenie przeglądarki może przejąć kontrolę nad agentami AI zintegrowanymi z nowoczesnymi przeglądarkami oraz asystentami przeglądarkowymi. Nie jest to klasyczny malware uruchamiający własny kod w systemie operacyjnym, lecz nadużycie zaufanych komponentów przeglądarki, które dysponują szerokim dostępem do kart, treści stron, zrzutów ekranu, plików lokalnych i działań wykonywanych w imieniu użytkownika.
To zagrożenie wpisuje się w nowy model ryzyka związany z rozwojem funkcji agentowych. Im więcej uprawnień otrzymuje wbudowany agent AI, tym większe konsekwencje może mieć kompromitacja pojedynczego dodatku przeglądarkowego.
W skrócie
Badacz bezpieczeństwa zaprezentował koncepcję ataku BragJack przeciwko rozwiązaniom opartym na Chromium, w tym agentom AI działającym w przeglądarce. Warunkiem skutecznego ataku jest wcześniejsze zainstalowanie złośliwego rozszerzenia.
Następnie rozszerzenie wykorzystuje mechanizmy modyfikacji ruchu i odpowiedzi sieciowych, aby wpływać na zaufane komponenty AI i przekazywać im instrukcje kontrolowane przez atakującego. W praktyce może to prowadzić do odczytu wrażliwych danych, wykonywania akcji na stronach internetowych i nadużywania uprawnień dostępnych agentowi. Część zgłoszonych problemów została już usunięta, a niektórym przypisano identyfikatory CVE.
Kontekst / historia
Rozwój agentów AI w przeglądarkach zmienia dotychczasowy model bezpieczeństwa. Tradycyjne rozszerzenia mogły odczytywać lub modyfikować zawartość stron w granicach przyznanych im uprawnień, jednak obecne rozwiązania idą dalej. Agenci AI potrafią nie tylko analizować treść, ale również przełączać karty, podsumowywać informacje, wykonywać interakcje z witrynami i korzystać z lokalnych zasobów.
BragJack pokazuje, że połączenie modelu AI jako warstwy decyzyjnej oraz uprzywilejowanego komponentu wykonawczego tworzy nową powierzchnię ataku. Jeśli napastnik wpłynie na ścieżkę komunikacji lub zaufany kontekst, może sterować zachowaniem agenta bez konieczności przełamywania zabezpieczeń systemu operacyjnego.
Analiza techniczna
Rdzeniem ataku jest złośliwe rozszerzenie wykorzystujące możliwości oferowane przez mechanizmy kontroli ruchu sieciowego w Chromium, w szczególności reguły declarativeNetRequest. Pozwalają one między innymi na przekierowywanie zasobów, modyfikację odpowiedzi oraz wpływanie na nagłówki bezpieczeństwa.
W scenariuszu BragJack rozszerzenie nie musi bezpośrednio wstrzykiwać kodu do najbardziej uprzywilejowanych komponentów przeglądarki. Zamiast tego manipuluje ścieżką ładowania zasobów i zaufanym kontekstem wykorzystywanym przez agenta AI. W jednym z wariantów osłabiano nagłówki bezpieczeństwa i przekierowywano zasób JavaScript tak, aby uruchomić kod w kontekście aplikacji webowej powiązanej z agentem.
Dzięki temu możliwa staje się komunikacja z uprzywilejowanym komponentem obsługującym funkcje agenta, z pominięciem standardowego przepływu żądań. W bardziej rozbudowanych środowiskach agentowych skutki są jeszcze poważniejsze, ponieważ atakujący może nie tylko odczytywać dane, ale także wydawać polecenia prowadzące do interakcji z usługami internetowymi.
Demonstracje obejmowały scenariusze związane z:
- przeglądaniem historii aktywności,
- wykonywaniem zrzutów ekranu,
- dostępem do plików lokalnych,
- inicjowaniem zadań realizowanych przez agenta,
- wpływaniem na działania wykonywane w imieniu użytkownika.
Istotnym elementem tej techniki jest tak zwany prompt forcing. Nie chodzi wyłącznie o klasyczny prompt injection umieszczony w treści analizowanej przez model, ale o przejęcie ścieżki dostarczania pełnych instrukcji do agenta. W efekcie legalny komponent wykonuje operacje zgodne ze swoimi uprawnieniami, ale na podstawie poleceń pochodzących od atakującego, co utrudnia wykrycie incydentu.
Konsekwencje / ryzyko
Największe ryzyko wynika z połączenia wysokiego poziomu zaufania do agentów AI oraz szerokich uprawnień, jakie otrzymują one w przeglądarce. Oznacza to, że przejęcie jednego rozszerzenia może otworzyć drogę do działań wykraczających poza klasyczny model zagrożeń związanych z dodatkami.
Dla użytkowników indywidualnych oznacza to możliwość kradzieży danych przeglądania, dostępu do aktywnych sesji webowych, odczytu treści poczty i aplikacji SaaS oraz wykonywania działań w ich imieniu. W środowisku firmowym stawką są wycieki danych biznesowych, nadużycie sesji uprzywilejowanych, dostęp do zasobów otwartych w przeglądarce i częściowe obchodzenie mechanizmów ochronnych poprzez wykorzystanie legalnych procesów.
Szczególnie niebezpieczne jest to, że atak nie zawsze wymaga klasycznego exploitowania systemu. W praktyce wystarczy instalacja rozszerzenia z nadmiernymi uprawnieniami albo przejęcie zaufanego łańcucha dostarczania dodatku.
Rekomendacje
Organizacje powinny ograniczyć możliwość instalowania rozszerzeń wyłącznie do zatwierdzonej listy dodatków i wymuszać polityki allowlistingu w zarządzanych przeglądarkach. Równie ważne jest regularne przeglądanie przyznanych uprawnień, zwłaszcza w przypadku rozszerzeń mających dostęp do wszystkich stron, możliwości przekierowywania ruchu lub modyfikacji odpowiedzi.
Należy również utrzymywać przeglądarki i komponenty AI w aktualnych wersjach, ponieważ część opisanych problemów została już załatana przez producentów. W środowiskach korporacyjnych warto rozważyć ograniczenie lub wyłączenie funkcji agentowych tam, gdzie nie są niezbędne do pracy.
- monitorowanie instalacji oraz zmian konfiguracji rozszerzeń,
- blokowanie dodatków żądających szerokich uprawnień bez uzasadnienia biznesowego,
- analizę ruchu przeglądarkowego pod kątem nietypowych przekierowań i modyfikacji odpowiedzi,
- separację sesji uprzywilejowanych od codziennego przeglądania internetu,
- stosowanie zasady minimalnych uprawnień dla użytkowników i narzędzi,
- testowanie agentów AI pod kątem nadużyć typu prompt forcing, origin trust abuse i race condition.
Producenci przeglądarek oraz dostawcy agentów AI powinni dodatkowo wzmacniać granice zaufania między rozszerzeniami, aplikacjami webowymi i uprzywilejowanymi komponentami wykonawczymi. Szczególnie ważne jest ograniczenie wpływu rozszerzeń na zasoby ładowane przez agentów oraz ścisła walidacja źródła instrukcji inicjujących akcje.
Podsumowanie
BragJack pokazuje, że agenci AI w przeglądarkach tworzą nową i bardzo atrakcyjną powierzchnię ataku. Samo złośliwe rozszerzenie nie jest nowym zjawiskiem, ale możliwość sterowania uprzywilejowanymi funkcjami AI znacząco zwiększa poziom ryzyka.
W praktyce bezpieczeństwo nowoczesnej przeglądarki nie może być już oceniane wyłącznie przez pryzmat izolacji kart i klasycznych uprawnień dodatków. Coraz większe znaczenie ma sposób, w jaki przeglądarka kontroluje relacje zaufania pomiędzy rozszerzeniami, warstwą webową i agentem AI wykonującym działania w imieniu użytkownika.