যখন এজেন্টের দেহ ছিনতাই হয় — একটি এক্সটেনশন পাঁচটি পণ্যে এআই সহকারী চালায়
Forever Security দেখিয়েছে যে একটি সাধারণ ব্রাউজার এক্সটেনশন পাঁচটি পণ্যের অন্তর্নির্মিত এআই চালাতে পারে — Chrome, Comet, Edge, Opera Neon, এবং Claude। আলাদাভাবে, Mandiant জানিয়েছে একজন আক্রমণকারী একটি এআই কোডিং-সহকারী সেশন ছিনতাই করে প্রায় 100 রিপোজিটরিতে Shai-Hulud ওয়ার্ম ছড়িয়েছে। আমরা এজেন্টিক রানটাইমের বিশ্বাস সীমা মানচিত্র করি।
এই নিবন্ধটি মেশিনে অনুবাদ করা হয়েছে।
সেপ্টেম্বর 2026-এ Forever Security-এর গবেষক Gal Weizman দেখিয়েছেন যে মাত্র 2টি সাধারণ অনুমতিসম্পন্ন একটি ব্রাউজার এক্সটেনশন — পৃষ্ঠা পরিবর্তন ও declarativeNetRequest — পাঁচটি পণ্যের অন্তর্নির্মিত এআই সহকারী নিয়ন্ত্রণ করতে পারে: Chrome-এ Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon, এবং Chrome এক্সটেনশনে Claude। স্থাপত্য পণ্যগুলোতে একই: এআই-এর ব্রাউজারের ভিতরে একটি "দেহ" আছে যা পর্দা দেখতে পারে, ফাইল খুলতে ও ক্যামেরা ব্যবহার করতে পারে, এবং বিক্রেতার সার্ভারে একটি "মস্তিষ্ক", আর দেহ কেবল একটি বিশ্বস্ত পৃষ্ঠা থেকে আদেশ নেয় (যেমন gemini.google.com)। এক্সটেনশন সেই বিশ্বস্ত পৃষ্ঠায় নিজের কোড ঢোকায় এবং দেহের সঙ্গে এমনভাবে কথা বলে যেন সে বিক্রেতা। Chrome ঘটনা, যা GlicJack নামে পরিচিত, CVE-2026-0628 (CVSS 8.8, Chrome 143-এ ঠিক করা); শুধু Edge ফলাফলও একটি CVE পেয়েছে, CVE-2026-55945 (CVSS 4.2, ঠিক করা)। Comet, Opera Neon ও Claude-এর কোনো CVE নেই। Comet ছিল সবচেয়ে খারাপ ঘটনা — একবার ছিনতাই হলে তার এজেন্ট যেকোনো ফাইল পড়তে, ব্রাউজিং ইতিহাস তালিকা করতে, স্ক্রিনশট নিতে এবং ব্যবহারকারী হিসেবে কাজ করতে পারত। সব ফলাফল গবেষকের প্রদর্শন, বন্য পরিবেশে হামলা নয়, এবং প্রতিটি ধরে নেয় এক্সটেনশন ইতিমধ্যে ইনস্টল (The Hacker News-এর প্রতিবেদন অনুসারে)।
একটি আলাদা সূত্রে, Mandiant-এর সেপ্টেম্বর 2026 প্রতিবেদন একটি অনামী SaaS প্রদানকারীতে সক্রিয় এআই কোডিং-সহকারী সেশন ছিনতাইয়ের বর্ণনা দেয়। ছিনতাইয়ের পর, সহকারীর একটি সুপারিশ — যে সফটওয়্যার আক্রমণকারী বিষাক্ত করেছিল — মানুষ গ্রহণ করেছে, এবং আক্রমণকারী ডেভেলপারের সেশন ব্যবহার করে কোম্পানির অফিসিয়াল নেমস্পেসের ভিতরে একটি বিষাক্ত PyPI প্যাকেজের মাধ্যমে একটি ইনফোস্টিলার বসিয়েছে। GitHub OAuth টোকেন চুরি হয়েছে, এবং স্ব-বিস্তারকারী Shai-Hulud ওয়ার্ম প্রায় 100টি অভ্যন্তরীণ রিপোজিটরিতে মোতায়েন হয়েছে; একজন দ্বিতীয় কর্মচারী আপস হওয়া সংস্করণ টানায় দ্বিতীয় সংক্রমণ হয়েছে। Mandiant আগে জানিয়েছিল যে আক্রমণকারীরা 2025 জুড়ে জেনারেটিভ এআই দিয়ে কাজ দ্রুত করা থেকে এগিয়ে ম্যালওয়্যার ও জীবন্ত হামলায় LLM বসাতে শুরু করেছে (The Hacker News ও Mandiant-এর প্রতিবেদন অনুসারে)।
বিশ্লেষণ (তথ্য থেকে পৃথক): দুটি গল্পে সাধারণ বিষয় হলো এজেন্টিক স্থাপত্যের বিশ্বাস সীমা মানুষের অনুমোদনের ওপর নয়, একটি "পৃষ্ঠা" ও একটি "সুপারিশ"-এর ওপর বসে। ব্রাউজার-ব্যবহার এজেন্ট একটি বিশ্বস্ত ডোমেইন থেকে আদেশ নেয় — কিন্তু একটি এক্সটেনশন সেই পৃষ্ঠার বিষয়বস্তু পুনর্লিখন করতে পারে, ফলে এক্সটেনশন বিশ্বাস সীমায় একটি সরবরাহ-শৃঙ্খল পথ হয়। কোডিং-এজেন্টের দিকে, একটি এআই সুপারিশের মানব "অনুমোদন" নিজেই কার্যকর বিশেষাধিকারের অনুদান: সুপারিশকারীর ইনপুট (প্যাকেজ রেজিস্ট্রি) বিষাক্ত হলে অনুমোদন ট্রিগার হয়ে যায়। হিউম্যান-ইন-দ্য-লুপকে সাধারণত একটি নিরাপত্তা ব্যবস্থা বলা হয়, তবু দুই ক্ষেত্রেই লুপের মানুষ সুপারিশ যাচাই করেনি — সেটি আনুষ্ঠানিকতা ছিল।
প্রতিরক্ষামূলক তাৎপর্য: (1) যে এন্ডপয়েন্টে এআই সহকারী সক্রিয়, সেখানে এক্সটেনশন অনুমতি এজেন্ট সক্ষমতার সঙ্গে তালিকা করুন — একটি এক্সটেনশন যদি এজেন্টের "দেহ"-এর মাধ্যমে ফাইল পড়া ও ক্যামেরা প্রবেশে পৌঁছাতে পারে, তাকে অনুমতি দেওয়া একটি বাস্তব বিশেষাধিকার অনুদান। (2) যেকোনো এআই-সুপারিশকৃত প্যাকেজ বা টুলকে, মানুষ-অনুমোদিত হলেও, একটি নতুন খোলা সরবরাহ-শৃঙ্খল পথ হিসেবে নিন যার যাচাই দরকার। (3) বিশ্বস্ত-ডোমেইনের দিকে, পড়ে থাকা কমান্ড চ্যানেলের তালিকা করুন যেমন পরীক্ষা সাবডোমেইন (একটি পড়ে থাকা পরীক্ষা ঠিকানা Comet-এর সাফল্যের বিন্দু ছিল)। (4) এজেন্ট যে ফাইল পড়তে পারে এবং যে টোকেন (যেমন OAuth) সে ধরে, সেগুলো ন্যূনতম করুন। এগুলো আমাদের বিশ্লেষণ, বিক্রেতার নির্দেশনা নয়।
এই নিবন্ধের তথ্য মূলত Forever Security-এর BragJack লেখা (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) এবং Mandiant / Google Cloud-এর AI Risk and Resilience Report 2026 (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026) থেকে নেওয়া, গৌণ হিসেবে The Hacker News-এর প্রতিবেদনসহ (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html এবং https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); বিশ্লেষণ অংশগুলো তথ্যগত প্রতিবেদন থেকে পৃথক রাখা হয়েছে। লক্ষ করুন যে যে পণ্যগুলোর CVE নেই, তাদের বিক্রেতা প্রতিকারের অবস্থা প্রকাশ্য তথ্য থেকে পুরোপুরি নিশ্চিত করা যায়নি।