Kötü amaçlı uzantılar tarayıcı ajanlarına komut verebiliyor
Güvenlik araştırmacısı Gal Weizman’ın açıkladığı BragJack saldırısı, tarayıcıya önceden yüklenmiş kötü amaçlı tek bir uzantının bazı yapay zekâ destekli tarayıcı asistanlarını ele geçirmesine imkân tanıyabiliyor.
Araştırmacının kavram kanıtı çalışması; Google Chrome’daki Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon ve Anthropic’in Claude in Chrome uzantısında gösterildi. Saldırının çalışması için kötü amaçlı uzantının kurbanın tarayıcısında zaten yüklü olması gerekiyor. Bu koşul sağlandığında Weizman’a göre uzantı, kullanıcı etkileşimi olmadan yapay zekâ ajanını yönetebiliyor ve ajanın mevcut yetkilerini kötüye kullanabiliyor.
Araştırma, beş üreticiden toplamda 20.000 doların üzerinde hata ödülü aldı. Ödüller 600 ila 7.000 dolar arasında değişirken bulgular için iki CVE kaydı oluşturuldu. Google ve Microsoft, kendilerine bildirilen açıkları giderdi.
Sorun, ayrıcalıklı tarayıcı bileşenlerinin güven ilişkilerinde
Weizman, bu tür sistemleri bir “beyin” ve “gövde” yapısı olarak tanımlıyor. Yapay zekâ modeli talimatı işleyerek yapılacak eylemi belirliyor; tarayıcıdaki ayrıcalıklı bileşen ise sekmelere erişme, sayfa içeriğini okuma, ekran görüntüsü alma veya sitelerle etkileşime geçme gibi işlemleri yerine getiriyor.
Araştırmacıya göre risk, tarayıcı uzantılarının bu ayrıcalıklı bileşenlerin güvendiği web trafiğini ve sayfaları değiştirebilmesinden kaynaklanıyor. Beş hedefin tamamında aynı uzantı kullanıldı. Uzantı, Chromium’un ağ isteklerinin işlenişini değiştirebilen declarativeNetRequest (DNR) işlevinden yararlandı.
Chrome ve Gemini Live örneği
Chrome’daki senaryoda uzantıların ayrıcalıklı chrome://glic bileşenine doğrudan erişmesi veya Google’ın Gemini sitesine betik enjekte etmesi engellenmişti. Ancak Weizman, gömülü Gemini web uygulamasının yaptığı isteklerin DNR kurallarıyla yakalanabildiğini belirledi.
Araştırmacı, güvenlik başlıklarını zayıflatıp bir JavaScript kaynağını yeniden yönlendirerek Gemini bağlamında kod çalıştırdı. Böylece Gemini’nin olağan istek akışı yerine Chrome’un ayrıcalıklı yapay zekâ bileşeniyle doğrudan iletişim kurulabildi.
Weizman, bu erişimin yerel dosyaları okuma, web içeriğine erişme ve ekran görüntüsü alma imkânı sunduğunu; tarayıcının kamera ve mikrofonuna da potansiyel olarak ulaşabileceğini aktardı. Google, bulguya CVE-2026-0628 kimliğini atadı ve 7.000 dolar ödül verdi.
Ajan özellikli tarayıcılarda risk daha geniş olabilir
Perplexity Comet ve Opera Neon gibi web sitelerinde işlem yapabilen ajanlarda saldırının etkisi daha ileri düzeye çıkabiliyor. Bu tarayıcıların ajanları yalnızca içerik okumakla sınırlı kalmayıp web üzerinde eylem gerçekleştirebiliyor.
Weizman, Comet’te yerleşik ajan uzantısının bazı Perplexity alan adlarına güvendiğini tespit etti. Bunlardan bir test alan adı, ana perplexity.ai sitesindeki korumalara sahip değildi. Araştırmacı, DNR ile bu alan adına yönlendirmeyi kaldırdıktan sonra yerleşik ajanla iletişim kurabilen bir içerik betiği enjekte edebildi.
Bu erişimin tarama geçmişi, ekran görüntüleri ve yerel dosyaları kapsadığı; ajana talimat gönderilebildiği aktarıldı. Kavram kanıtında ajanın Perplexity’ye gitmesi, kurbanın e-postalarını özetlemesi ve sonuçları başka bir adrese göndermesi sağlandı.
Microsoft Edge’de ise yapay zekâ ajanının “Think” ve “Do” modlarına ayrıldığı belirtildi. Bu ayrımın, ajanın aynı anda hem rastgele talimat almasını hem de eyleme geçmesini engellemesi amaçlanıyordu. Weizman, bir yarış durumu üzerinden kısıtlamanın kısa süreliğine devre dışı bırakılabildiğini, komut verildikten sonra ajanın durum kontrolünden önce eylem yetkisinin yeniden açılabildiğini söyledi. Microsoft bu bulguya CVE-2026-55945 kimliğini verdi.
Opera Neon ile Claude in Chrome üzerinde de benzer açıklar gösterildi. Claude in Chrome’un bir tarayıcı değil, tarayıcı uzantısı olduğu not edildi.
“Prompt Forcing” yöntemi nasıl ayrılıyor?
Weizman, yapay zekâ ajanını yönlendirmek için kullandığı tekniği Prompt Forcing olarak adlandırıyor. Geleneksel prompt injection saldırılarında saldırgan, yapay zekânın zaten okumakta olduğu içeriğe zararlı talimatlar yerleştirmeye çalışır.
Prompt Forcing yaklaşımında ise saldırgan, ajana tam istemi ve takip eden talimatları verebiliyor. Ardından ajan, mevcut yetkilerini kullanarak bu talimatları meşru tarayıcı eylemlerine dönüştürüyor.
Araştırmacıya göre bu durum uç nokta savunmaları açısından zorluk yaratıyor. Nihai işlem, geleneksel kötü amaçlı kod tarafından değil, meşru bir yazılımın saldırganın yönlendirmesiyle yaptığı eylemler üzerinden gerçekleşiyor.
Uzantı izinleri dikkatle incelenmeli
BragJack araştırması, geleneksel olarak yalnızca web içeriğini görebilecek ele geçirilmiş bir uzantının bazı tasarımlarda dosyaları ve tarama verilerini okuyabilen ya da kullanıcı adına sitelerde işlem yapabilen yazılımlara ulaşma yolu hâline gelebileceğine işaret ediyor.
Kullanıcıların tarayıcılarını güncel tutması, tanımadıkları ya da artık kullanmadıkları uzantıları kaldırması ve “tüm web sitelerindeki tüm verilerinizi okuma ve değiştirme” gibi geniş izin taleplerine temkinli yaklaşması öneriliyor.
