Wprowadzenie do problemu / definicja
Rosnąca integracja asystentów AI z przeglądarkami internetowymi tworzy nową klasę ryzyka bezpieczeństwa. Nie chodzi już wyłącznie o klasyczne uprawnienia rozszerzeń, ale o relację między dodatkiem działającym lokalnie a uprzywilejowanym komponentem AI, który może wykonywać akcje w imieniu użytkownika.
Najnowsze ustalenia badaczy pokazują, że pojedyncze rozszerzenie z relatywnie typowymi uprawnieniami mogło posłużyć do przejęcia kontroli nad funkcjami AI w kilku popularnych produktach opartych na Chromium. To istotna zmiana w krajobrazie zagrożeń, ponieważ granica między zwykłym dodatkiem a mechanizmem sterującym agentem AI okazuje się znacznie cieńsza, niż wcześniej zakładano.
W skrócie
Badacze bezpieczeństwa wykazali, że jedno rozszerzenie przeglądarkowe mogło uzyskać dostęp do mechanizmów AI w Google Chrome, Perplexity Comet, Microsoft Edge, Opera Neon oraz rozszerzeniu Claude dla Chrome. W zależności od platformy skutki obejmowały możliwość sterowania agentem AI, odczytu plików lokalnych, wykonywania zrzutów ekranu, a w części scenariuszy także dostępu do kamery i mikrofonu.
- atak wymagał wcześniejszej instalacji złośliwego rozszerzenia przez ofiarę,
- nie opisano publicznie aktywnych kampanii wykorzystujących tę technikę,
- dla części przypadków opublikowano poprawki oraz identyfikatory CVE,
- problem dotyczy granic zaufania między rozszerzeniem, stroną WWW i lokalnym komponentem AI.
Kontekst / historia
Nowoczesne przeglądarki i narzędzia AI coraz częściej wdrażają model agenta, w którym komponent lokalny może obserwować zawartość ekranu, otwierać pliki, wykonywać akcje w interfejsie lub korzystać z urządzeń peryferyjnych. Jednocześnie logika decyzyjna i sterowanie bywają powiązane z usługą działającą po stronie dostawcy.
Taki model zwiększa funkcjonalność, ale jednocześnie rozszerza powierzchnię ataku. Jeśli lokalny moduł o wysokich uprawnieniach ufa określonej stronie internetowej lub aplikacji webowej, to przejęcie tej zaufanej warstwy może otworzyć drogę do wysyłania poleceń do agenta AI z poziomu mniej uprzywilejowanego komponentu.
Wcześniejsze badania dotyczące Chrome były już opisywane pod nazwą GlicJack i otrzymały identyfikator CVE-2026-0628. Podobna koncepcja została następnie rozszerzona na inne produkty, a przypadek Microsoft Edge oznaczono jako CVE-2026-55945. W momencie publicznego opisu pozostałe ustalenia dotyczące Comet, Opera Neon i Claude nie miały publicznie przypisanych numerów CVE.
Analiza techniczna
Sednem problemu było obejście założenia, że rozszerzenie może wpływać na zawartość stron internetowych, ale nie powinno uzyskiwać bezpośredniej kontroli nad uprzywilejowanym komponentem przeglądarki. Badacze pokazali, że wystarczające mogły być dwa stosunkowo często spotykane typy uprawnień: możliwość modyfikowania stron oraz wpływania na ruch sieciowy.
W praktyce pozwalało to na wstrzyknięcie własnego kodu do zaufanej strony i podszycie się pod legalny interfejs sterujący AI. Oznacza to naruszenie modelu trusted origin, w którym komponent o wysokich uprawnieniach ufa tylko wybranej domenie lub aplikacji webowej. Gdy rozszerzenie może manipulować tą warstwą, uzyskuje możliwość przesyłania poleceń z poziomu procesu o znacznie niższych uprawnieniach.
Skala potencjalnych skutków różniła się pomiędzy produktami:
- w Chrome możliwy był odczyt plików lokalnych, wykonywanie zrzutów ekranu oraz aktywacja kamery i mikrofonu,
- w Comet możliwy był odczyt plików, historii przeglądania, profilu użytkownika, tworzenie zrzutów ekranu oraz sterowanie agentem AI,
- w Edge, Opera Neon i Claude główne ryzyko dotyczyło sterowania agentem AI w imieniu użytkownika.
Szczególnie interesujący z technicznego punktu widzenia był przypadek Comet, gdzie silna integracja przeglądarki z agentem AI oznaczała, że przejęcie warstwy sterującej mogło prowadzić do szerokiego wykonywania działań w kontekście użytkownika. W Edge scenariusz miał być trudniejszy i wymagać połączenia dwóch słabości, w tym błędu wyścigu przy przełączaniu trybów działania agenta. Z kolei w Opera Neon zaufana strona miała dopuszczać wykonanie kodu rozszerzenia bez wystarczających ograniczeń.
Konsekwencje / ryzyko
Z perspektywy użytkowników i organizacji jest to przykład eskalacji z nisko uprzywilejowanego poziomu do warstwy, która może wykonywać operacje o wysokiej wrażliwości. Samo rozszerzenie nie musiało przejmować pełnej kontroli nad systemem operacyjnym. Wystarczało, że uzyskiwało dostęp do interfejsu sterującego funkcjami AI, które już dysponowały rozszerzonymi możliwościami.
- wyciek danych lokalnych poprzez odczyt plików i zrzuty ekranu,
- nadużycie dostępu do kamery i mikrofonu,
- wykonywanie akcji w przeglądarce w imieniu użytkownika,
- ujawnienie historii przeglądania i danych profilu,
- obejście tradycyjnych modeli izolacji dzięki wykorzystaniu agenta AI jako uprzywilejowanego pośrednika.
Ryzyko rośnie szczególnie w środowiskach korporacyjnych, gdzie przeglądarka jest bramą do systemów SaaS, poczty, paneli administracyjnych i danych biznesowych. Jeśli agent AI ma dostęp do takich zasobów lub może wykonywać operacje w aktywnej sesji użytkownika, przejęcie kanału sterującego może prowadzić do eksfiltracji informacji, nieautoryzowanych zmian konfiguracji i wsparcia kolejnych etapów ataku.
Istotne jest również to, że opisywany scenariusz nie wymagał dodatkowej interakcji po instalacji rozszerzenia. Oznacza to, że skuteczna obrona zależy przede wszystkim od prewencji, kontroli dodatków oraz odpowiedniego rozdzielenia warstw zaufania po stronie dostawców oprogramowania.
Rekomendacje
Organizacje powinny potraktować ten przypadek jako wyraźny sygnał, że polityki bezpieczeństwa dla rozszerzeń przeglądarkowych muszą uwzględniać także ryzyko związane z funkcjami AI. Ochrona powinna objąć zarówno aktualizacje, jak i ograniczanie powierzchni ataku.
- niezwłocznie aktualizować Chrome i Edge do wersji zawierających poprawki bezpieczeństwa,
- ograniczyć instalację rozszerzeń do listy zatwierdzonych dodatków,
- audytować uprawnienia rozszerzeń, zwłaszcza związane z modyfikacją stron i ruchem sieciowym,
- monitorować obecność nietypowych dodatków w środowiskach zarządzanych,
- rozdzielić profile wykorzystywane do zadań administracyjnych od codziennego przeglądania,
- zrewidować polityki korzystania z przeglądarek i asystentów AI w środowiskach wrażliwych,
- testować odporność zaufanych domen interfejsów AI na wstrzyknięcia pochodzące z rozszerzeń,
- wdrożyć telemetrykę wykrywającą nietypowe interakcje rozszerzeń z aplikacjami webowymi dostawców AI.
Po stronie producentów kluczowe jest odejście od modelu, w którym lokalny komponent o wysokich uprawnieniach bezwarunkowo ufa pojedynczej stronie WWW. Potrzebne są silniejsze mechanizmy uwierzytelniania poleceń, separacja kontekstów wykonania, ścisłe polityki bezpieczeństwa treści oraz dodatkowe bariery ograniczające wpływ rozszerzeń na zaufane interfejsy sterujące.
Podsumowanie
Opisane badania pokazują, że integracja agentów AI z przeglądarkami otwiera nowy, praktyczny wektor ataku. Problem nie wynika wyłącznie z pojedynczych błędów implementacyjnych, ale z szerszego zjawiska: nisko uprzywilejowane rozszerzenie może próbować wpływać na wysoko uprzywilejowany moduł AI, jeśli granice zaufania nie zostały zaprojektowane wystarczająco rygorystycznie.
Dla zespołów bezpieczeństwa to sygnał, że klasyczne zarządzanie rozszerzeniami przeglądarek musi zostać rozszerzone o analizę agentów AI jako nowej warstwy uprzywilejowania. W praktyce oznacza to konieczność szybkiego patchowania, ograniczania dodatków, monitorowania uprawnień oraz ponownej oceny ryzyka związanego z przeglądarkami wyposażonymi w funkcje autonomicznego działania.
Źródła
- One Extension Could Hijack AI Assistants Across Chrome, Comet, Edge, Opera Neon and Claude — https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html
- CVE-2026-0628 — National Vulnerability Database — https://nvd.nist.gov/vuln/detail/CVE-2026-0628
- CVE-2026-55945 — National Vulnerability Database — https://nvd.nist.gov/vuln/detail/CVE-2026-55945
- Forever Security — Research referenced in public disclosure — https://forever.security/
- GlicJack — Prior public disclosure referenced in reporting — https://www.glicjack.com/