“BragJack”攻击可将浏览器的智能体AI反噬其自身

security 2026-09-17 来源：Dark Reading

语音播报

摘要

事件：Forever Security研究员Weizman发现BragJack攻击，可劫持Chrome、Edge等五款浏览器内置的AI智能体。要点：该漏洞利用扩展程序与AI智能体间通信边界的设计缺陷，无需绕过护栏或提示注入即可完全控制代理。影响：数亿用户面临敏感信息泄露及系统被控风险。行业需警惕过度强大的AI代理危害。

Informa TechTarget
|
Cybersecurity Dive
InformationWeek
Channel Dive
TechTarget: Cybersecurity
探索我们的品牌
Dark Reading Resource Library
Black Hat News
Omdia Cybersecurity
广告合作
新闻通讯订阅
网络安全主题
全球
The Edge
DR Technology
活动
资源
端点安全
网络攻击与数据泄露
远程劳动力
威胁情报
新闻
BragJack 攻击可将浏览器的代理式 AI 反制为武器

一种新型攻击劫持了直接内置于各种浏览器中的 AI 助手，以访问敏感信息、执行恶意操作并窃取数据。

Elizabeth Montalbano，特约撰稿人

2026年9月17日

5分钟阅读
来源：PATTARA 通过 ALAMY 图库照片

一种名为 BragJack 的新型概念验证攻击可以破坏五个代理式浏览器环境并窃取机密信息：Google Chrome with Gemini、Microsoft Edge、Opera Neon、Perplexity Comet 以及 Chrome 中的 Claude。

Forever Security 的代理式软件和浏览器漏洞研究员 Gal Weizman 发现了这种攻击。据今天发布的一篇博客文章称，他表示该发现为该公司赢得了受影响公司支付的超过 20,000 美元的漏洞赏金。

与迄今为止大多数基于 AI 的攻击不同，BragJack 不需要研究人员绕过 AI 护栏，甚至不依赖提示注入（prompt injection），即在 AI 代理预期读取的内容中隐藏指令，Weizman 在文章中写道。

“我们发现了更糟糕的情况，”他写道，并补充说，“我们发现的所有漏洞都共享同一个关键设计缺陷。”他向 Dark Reading 解释说，该缺陷涉及代理式浏览器与扩展程序的交互方式，攻击者可以完全劫持通信通道并将提示强加给浏览器内置的代理，使其执行他们选择的任何操作。

相关报道：VectraRAT 每月仅需 250 美元即可入侵 Windows 企业

“他们不需要巧妙地将指令隐藏在代理与之交互的数据中，指望它会咬钩；他们只需一个接一个地发送提示，直到代理被说服去做任何事情，”Weizman 在电子邮件采访中说道。“值得注意的是，这种攻击对全球五个最受欢迎的代理式浏览器都有效，使其不仅仅是一个单一的漏洞实例，而是一种新型的攻击。”

针对 AI 的不同攻击，相似的建筑缺陷

Forever Security 联系了受此攻击影响的五家公司：Google、Microsoft、Opera、Anthropic 和 Perplexity。每家公司都承认其各自技术中存在漏洞，并颁发了从 Anthropic 的最低 600 美元到 Google 的最高 7,000 美元不等的漏洞赏金。Google 和 Microsoft 甚至为其 Chrome 和 Edge 代理式浏览器中的缺陷发布了 CVE：分别为 CVE-2026-0628 和 CVE-2026-55945。这些问题随后已得到解决。

BragJack 在每个浏览器中的表现形式各不相同，因为每个浏览器存在不同的漏洞；然而，跨浏览器利用的建筑问题是相同的。也就是说，每个浏览器都允许扩展程序跨越本应将不受信任的扩展程序与高权限 AI 代理分隔开的边界。Weizman 表示，这意味着任何安装了至少一个扩展程序的消费者使用这五种浏览器之一都存在风险，涉及数亿用户。

相关报道：SpiderSilk 利用基于 AI 的扫描器搜寻外部威胁

例如，在 Google Chrome/Gemini 中，Chrome 阻止扩展程序向 Gemini 页面注入脚本，但并未阻止扩展程序修改用于加载 Gemini 的网络请求。研究人员利用这一差距，以赋予他们控制浏览器端 Gemini “主体”的方式替换了他们自己站点的 JavaScript。据文章称，这使他们能够在无需用户点击的情况下截取屏幕截图、访问本地文件以及激活摄像头和麦克风。

在另一个例子中，研究人员指出，为了在 Microsoft Edge/Copilot 中实现 BragJack，他们不得不将两个弱点串联起来，因为他们面临着更强大的防御措施。首先，他们发现了一个拥有特殊权限的微软营销页面，可以向浏览器代理发送提示。随后，他们利用 Edge 的“思考”和“执行”模式之间的竞态条件，绕过了保护该页面的网络级防御，并通过在恰当的时刻切换模式，成功让代理既接受了他们的指令又执行了操作。

BragJack：证明 AI 代理的网络危险

BragJack 的意义不仅在于它展示了攻击者操纵 AI 代理的另一种方式，还因为它重现了周末前 Anthropic 前员工及其现任 CEO 发出严厉警告、呼吁遏制 AI 发展的场景——“过于强大的代理（如那些存在于浏览器中的代理）落入错误之手会有多危险”，Weizman 告诉 Dark Reading。

相关报道：ClickFix 活动滥用合法服务以确保持久访问权限

“这项研究中的浏览器代理同意执行攻击扩展程序发出的任何指令，包括访问敏感信息（如电子邮件往来）、将其泄露到任何地方，甚至对已登录的用户所在的任何网站执行破坏性操作，”他说。

因此，Weizman 表示，业界应当重视上述警告，并在开发代理时保持谨慎，加入“内置约束”，以防止它们在向公众开放之前完成可能导致数据泄露或系统状态更改的任务。

立即采取防御措施应对浏览器代理劫持

组织还应立即采取措施，防范 BragJack 以及其他如果代理式浏览器失控可能发生的攻击。Weizman 表示，在短期内，他建议组织保持所有基于 Chromium 的浏览器处于最新状态，“并移除任何未经组织审核且不为大众所熟知、使用不安全的扩展程序”。

虽然这些攻击可以绕过当前的端点检测与响应（EDR）系统，但 Weizman 告诉 Dark Reading，安全运营中心（SOC）可以通过观察每个代理式浏览器与 AI 提供商的历史交互，并识别可能受影响的端点来设置检测机制。他建议，一旦完成这一步，SOC “应导出浏览器代理与其 AI 提供商服务器之间的交互记录，并查找可能表明遭到入侵的潜在可疑行为”。

展望未来，Weizman 补充道，组织还应考虑采用下一代 EDR，以拦截端点上代理组件执行的操作，并利用丰富的上下文和 AI 能力来区分安全操作与那些使组织陷入危险的操作。

关于作者

伊丽莎白·蒙塔尔巴诺

特约撰稿人

伊丽莎白·蒙塔尔巴诺是一位自由撰稿人、编辑和记者，拥有30年的专业经验以及亚利桑那州立大学的硕士学位。她的专业领域包括企业技术、网络安全、商业和文化。在漫长的职业生涯中，伊丽莎白曾在凤凰城、旧金山和纽约市担任全职记者。她专注于新闻报道和分析，利用多年的经验以批判性的视角审视网络安全的现状。她目前居住在葡萄牙西南海岸的一个村庄，在空闲时间，她喜欢冲浪、与狗一起徒步旅行、种植植物，并以歌手和音乐家的身份进行表演。

希望更多 Dark Reading 的故事出现在您的 Google 搜索结果中？
立即添加我们

更多见解
行业报告

云安全现状：最新挑战

组织如何管理事件响应

企业如何开发安全的应用程序

RSAC 2026内幕：安全领袖揭示重塑防御策略的风险

来自Black Hat USA 2025的重要新闻与见解

获取更多研究

网络研讨会

有效警报分类：减少噪音并发现真实威胁

2027年网络安全展望

威胁暴露分析：衡量和传达安全风险

基准分数是虚假信号

构建有效的红队：超越渗透测试

更多网络研讨会