كشف الباحث الأمني Gal Weizman من Forever Security عن أسلوب هجوم جديد أطلق عليه اسم BragJack، يتيح لإضافة متصفح خبيثة السيطرة على مساعدين للذكاء الاصطناعي مدمجين في متصفحات وخدمات مبنية على Chromium. شملت التجارب Google Chrome مع Gemini Live، وPerplexity Comet، وMicrosoft Edge، وOpera Neon، إضافة إلى Claude in Chrome.
لا يبدأ الهجوم إلا بعد تثبيت الإضافة الخبيثة على متصفح الضحية، لكنه أظهر إمكانية تنفيذ الاستغلال من دون تفاعل إضافي من المستخدم. وبحسب البحث، تستطيع الإضافة استغلال صلاحيات وكيل الذكاء الاصطناعي للوصول إلى معلومات حساسة أو تنفيذ إجراءات على الويب نيابة عن صاحب المتصفح.
استغلال المكونات الموثوقة
يعتمد التصميم المعتاد لهذه الأنظمة على فصل بين نموذج الذكاء الاصطناعي الذي يفسر التعليمات، ومكوّن متصفح ذي صلاحيات ينفذها، مثل قراءة علامات التبويب والمحتوى، التقاط لقطات الشاشة أو التفاعل مع المواقع. وجد Weizman أن الإضافة تستطيع التلاعب بحركة المرور والصفحات التي يثق بها المكوّن privileged.
استخدمت التجارب الخمس وظيفة declarativeNetRequest في Chromium، وهي تتيح للإضافات تعديل طريقة التعامل مع طلبات الشبكة، بما في ذلك تغيير ترويسات الاستجابة وإعادة توجيه الموارد. وفي Chrome، استُخدمت هذه الآلية لاعتراض طلبات تطبيق Gemini المضمّن، وإضعاف بعض ترويسات الحماية وإعادة توجيه مورد JavaScript لتنفيذ كود داخل سياق Gemini، ثم التواصل مع مكوّن الذكاء الاصطناعي ذي الصلاحيات.
قال الباحث إن النتيجة قد تتيح قراءة الملفات المحلية، والوصول إلى محتوى الويب، والتقاط لقطات الشاشة، وربما الوصول إلى الكاميرا والميكروفون. وأسندت Google الحالة إلى CVE-2026-0628 ودفعت مكافأة قدرها 7,000 دولار. كما قالت المادة إن Google وMicrosoft أصلحتا الثغرات التي أُبلغتا بها.
من قراءة البيانات إلى توجيه الوكيل
في Perplexity Comet وOpera Neon، كانت المخاطر أوسع لأن الوكلاء يستطيعون تنفيذ إجراءات على المواقع، لا الاكتفاء بقراءة المحتوى. وجد الباحث أن إضافة Comet المدمجة تثق بعدة نطاقات تابعة لـ Perplexity، من بينها نطاق اختبار لم يكن محمياً مثل perplexity.ai. وباستخدام DNR، أزال إعادة توجيه إلى ذلك النطاق وحمّل صفحة تمكن من حقن content script والتواصل مع الوكيل.
أظهر الاختبار إمكانية الوصول إلى سجل التصفح ولقطات الشاشة والملفات المحلية، إضافة إلى إرسال تعليمات إلى الوكيل. وفي العرض التجريبي، أُجبر الوكيل على زيارة Perplexity، وتلخيص رسائل الضحية الإلكترونية، ثم إرسال النتائج إلى عنوان آخر.
في Edge، استغل الباحث race condition في الفصل الذي وضعته Microsoft بين وضعي Think وDo. إذ أمكن تعطيل القيد مؤقتاً أثناء تمرير prompt، ثم إعادة تفعيل قدرة التنفيذ قبل أن يتحقق الوكيل من حالته. حملت Microsoft الحالة اسم CVE-2026-55945. وذكر البحث وجود أساليب مشابهة ضد Opera Neon وClaude in Chrome، وهو الأخير إضافة متصفح وليس متصفحاً مستقلاً.
لماذا يهم هذا الخبر؟
يسمي Weizman الأسلوب Prompt Forcing لتمييزه عن prompt injection التقليدي؛ فالمهاجم لا يكتفي بإدخال تعليمات داخل محتوى يقرأه النموذج، بل يمرر للوكيل prompt كاملاً وتعليمات متابعة، فيحوّل الوكيل تلك التعليمات إلى إجراءات مشروعة باستخدام صلاحياته. عملياً، تصبح الإضافة المخترقة جسراً إلى مكوّن قادر على قراءة البيانات والتصرف في المواقع، بينما قد لا يبدو التنفيذ ككود ضار تقليدي.
حصل البحث على أكثر من 20,000 دولار من مكافآت الثغرات من الموردين الخمسة، تراوحت بين 600 و7,000 دولار، وأسفر عن إصدار رقمي CVE. وبالنسبة للمستخدمين، توصي المادة بتحديث المتصفحات، وإزالة الإضافات غير المعروفة أو غير المستخدمة، والتعامل بحذر مع صلاحيات من نوع «قراءة كل بياناتك وتغييرها على جميع المواقع». ولا يثبت المصدر أن كل هذه المسارات متاحة في الإصدارات الحالية بعد الإصلاحات، لذلك تبقى حالة كل منتج مرتبطة بتحديثاته وإجراءات الشركة المصنّعة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.