Tek bir kötü niyetli eklentiyle AI tarayıcı asistanlarını ele geçiren BragJack açığı
Gal Weizman’ın BragJack tekniği, Chromium tabanlı tarayıcılarda yüklü tek bir zararlı eklentinin Gemini Live, Perplexity Comet, Edge, Opera Neon ve Claude gibi yerleşik AI ajanlarını tam yetkiyle kontrol edebildiğini ve bu çalışma için 20.000 doların üzerinde
Güvenlik araştırmacısı Gal Weizman, BragJack adını verdiği bir saldırı tekniğiyle Chromium tabanlı tarayıcılardaki AI asistanlarının tek bir kötü niyetli uzantı üzerinden ele geçirilebildiğini gösterdi. Bu yaklaşım, uzantı katmanındaki bir ihlalin tarayıcıya gömülü AI ajanlarına kadar uzanabildiğini ortaya koyuyor.
Weizman, BragJack’i Chrome’daki Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon ve Chrome’da çalışan Anthropic Claude üzerinde çalışır biçimde gösterdi. Böylece aynı temel tekniğin birden fazla büyük tarayıcı ve AI entegrasyonunda işe yaradığını kanıtlamış oldu.
Çalışma, beş farklı üreticiden, tek bir ödülün 600 ila 7.000 dolar arasında değiştiği ve toplamı 20.000 doların üzerine çıkan bug bounty ödemeleri ve iki ayrı CVE ile sonuçlandı. Bu da satıcıların bulguyu ciddi bir güvenlik açığı olarak değerlendirdiğini gösteriyor.
Saldırının gerçekleşmesi için önce kötü niyetli eklentinin kurbanın tarayıcısına kurulmuş olması gerekiyor. Bu şart sağlandığında ise saldırı, kullanıcının ekstra bir işlem yapmasına gerek kalmadan devreye girebiliyor.
Eklenti yüklendikten sonra tarayıcıya gömülü AI ajanını kontrol edebiliyor ve bu ajanın sahip olduğu yetkileri kullanıcı etkileşimi olmadan kötüye kullanabiliyor. Bu durum, AI asistanının aldığı izinlerin fiilen eklentinin kontrolüne geçmesi anlamına geliyor.
Google ve Microsoft, kendilerine atanan güvenlik açıklarını giderdiklerini duyurdu. Böylece BragJack kapsamında tanımlanan iki CVE için bu iki büyük tarayıcı tarafında düzeltmeler yayınlanmış oldu.
Saldırılar, AI asistanlarının tarayıcılara; sekmelere erişebilen, içerik okuyabilen, ekran görüntüsü alabilen ve web siteleriyle etkileşime girebilen bileşenler üzerinden bağlandığını kullanıyor. Bu mimari, bir kez ele geçirildiğinde AI ajanının geniş tarayıcı yetkilerinin zincirleme olarak kullanılmasına imkân tanıyor.
Weizman, tüm hedeflerde aynı kötü niyetli eklentinin Chromium’un declarativeNetRequest (DNR) özelliğini kullandığını gösterdi. Böylece tek bir DNR temelli yaklaşımın farklı AI entegrasyonları üzerinde yeniden kullanılabildiği ortaya çıktı.
Chrome tarafında DNR, Gemini web uygulamasına giden istekleri yakalamak, güvenlik başlıklarını zayıflatmak ve Gemini bağlamında çalışacak JavaScript’i yeniden yönlendirmek için kullanıldı. Bu kod daha sonra ayrıcalıklı AI bileşeniyle konuşmaya başlayabildi.
Chrome’daki bu açık, yerel dosyaları okumaya, web içeriğine erişmeye, ekran görüntüsü almaya ve potansiyel olarak kamera ve mikrofonu kullanmaya izin veriyordu. Bu bulguya CVE-2026-0628 numarası verildi ve 7.000 dolarlk
Neden önemli
BragJack, tarayıcı eklentilerinin artık yalnızca web sayfası içeriğini değil, yerleşik AI asistanlarının sahip olduğu daha geniş tarayıcı yetkilerini de dolaylı olarak ele geçirebildiğini gösteriyor. Tek bir kötü niyetli uzantı yüklendiğinde, kullanıcı bir şeye tıklamasa bile Gemini Live, Perplexity Comet veya benzeri bir AI ajanı üzerinden ekran görüntüleri, gezinme geçmişi, yerel dosyalar ve hatta kamera ve mikrofon gibi kaynaklara erişilebiliyor. Google ve Microsoft’un ilgili açıkları kapatmış olması önemli, ancak çalışma, AI entegrasyonları arttıkça eklenti katmanında yapılacak hataların etkisinin de büyüdüğünü ve tarayıcı mimarilerinde güvenilen alanların yeniden düşünülmesi gerektiğini ortaya koyuyor.