כשגוף הסוכן נחטף — הרחבה אחת שמניעה עוזרי בינה מלאכותית בחמישה מוצרים
Forever Security הראתה שהרחבת דפדפן רגילה אחת יכולה להניע את הבינה המלאכותית המובנית של חמישה מוצרים — Chrome, Comet, Edge, Opera Neon, ו-Claude. בנפרד, Mandiant דיווחה על תוקף שחטף מושב של עוזר קוד מבוסס בינה מלאכותית והפיץ את התולעת Shai-Hulud על פני בערך 100 מאגרים. אנו ממפים את גבולות האמון של זמני ריצה סוכניים.
מאמר זה תורגם במכונה.
בספטמבר 2026 הדגים חוקר Forever Security, Gal Weizman, שהרחבת דפדפן אחת שמחזיקה רק שתי הרשאות נפוצות — שינוי עמוד ו-declarativeNetRequest — יכולה לשלוט בעוזרי הבינה המלאכותית המובנים של חמישה מוצרים: Gemini Live ב-Chrome, Perplexity Comet, Microsoft Edge, Opera Neon, והרחבת Claude ב-Chrome. הארכיטקטורה זהה בין המוצרים: לבינה המלאכותית יש «גוף» בתוך הדפדפן שיכול לראות את המסך, לפתוח קבצים ולהשתמש במצלמה, ו«מוח» בשרתי היצרן, והגוף מקבל פקודות רק מעמוד מהימן יחיד (למשל gemini.google.com). ההרחבה מחדירה את הקוד שלה לעמוד המהימן הזה ומדברת אל הגוף כאילו הייתה היצרן. המקרה של Chrome, המוכר כ-GlicJack, הוא CVE-2026-0628 (CVSS 8.8, תוקן ב-Chrome 143); רק הממצא של Edge קיבל גם CVE, CVE-2026-55945 (CVSS 4.2, תוקן). ל-Comet, ל-Opera Neon ול-Claude אין CVE. Comet היה המקרה החמור ביותר — מרגע שנחטף, הסוכן שלו יכול לקרוא כל קובץ, לרשום היסטוריית גלישה, לצלם מסך ולפעול כמשתמש. כל הממצאים הם הדגמות של חוקר, לא תקיפות בפועל, וכל אחד מניח שההרחבה כבר מותקנת (לפי הדיווח של The Hacker News).
במסלול נפרד, הדוח של Mandiant מספטמבר 2026 מתאר תוקף שחטף מושב פעיל של עוזר קוד מבוסס בינה מלאכותית אצל ספק SaaS שלא ננקב בשמו. אחרי החטיפה, המלצה של העוזר — לתוכנה שהתוקף הרעיל — התקבלה על ידי האדם, והתוקף השתמש במושב של המפתח כדי להתקין גונב מידע דרך חבילת PyPI מורעלת בתוך מרחב השמות הרשמי של החברה. אסימוני GitHub OAuth נגנבו, והתולעת המתפשטת מעצמה Shai-Hulud נפרסה על פני בערך 100 מאגרים פנימיים; עובד שני שמשך את הגרסה שנפרצה גרם להדבקה שנייה. Mandiant דיווחה קודם לכן שתוקפים עברו במהלך 2025 משימוש בבינה מלאכותית יוצרת כדי להאיץ עבודה אל הטמעת LLM בנוזקות ובתקיפות חיות (לפי הדיווח של The Hacker News ושל Mandiant).
ניתוח (מופרד מהעובדות): מה ששני הסיפורים חולקים הוא שגבול האמון של ארכיטקטורות סוכניות יושב על «עמוד» ועל «המלצה» ולא על אישור אנושי. סוכני שימוש בדפדפן מקבלים פקודות מדומיין מהימן יחיד — אבל הרחבה יכולה לשכתב את תוכן העמוד הזה, וכך הרחבות הן נתיב שרשרת אספקה אל תוך גבול האמון. בצד סוכן הקוד, ה«אישור» האנושי של המלצת בינה מלאכותית הוא עצמו מתן הרשאת הרצה: אם הקלט של הממליץ (מרשם החבילות) מורעל, האישור הופך להדק. אדם בלולאה מתואר בדרך כלל כאמצעי בטיחות, ובכל זאת בשני המקרים האדם בלולאה לא אימת את ההמלצה — זו הייתה פורמליות.
השלכות הגנתיות: (1) בנקודות קצה שבהן עוזרי בינה מלאכותית מופעלים, יש לערוך מצאי של הרשאות הרחבה יחד עם יכולות הסוכן — אם הרחבה אחת יכולה להגיע לקריאת קבצים ולגישה למצלמה דרך «הגוף» של הסוכן, הענקת הרשאות לה היא הענקת הרשאה אמיתית. (2) יש להתייחס לכל חבילה או כלי שהמליצה עליהם בינה מלאכותית, גם אם אדם אישר, כנתיב שרשרת אספקה שנפתח מחדש וצריך אימות. (3) בצד הדומיין המהימן, יש לערוך מצאי של ערוצי פקודה שנותרו, כגון תת-דומיינים של בדיקה (כתובת בדיקה שנותרה הייתה פריצת הדרך של Comet). (4) יש למזער את הקבצים שסוכן יכול לקרוא ואת האסימונים (למשל OAuth) שהוא מחזיק. אלה הניתוח שלנו, לא הנחיית יצרן.
העובדות במאמר זה נשאבות בעיקר מן הכתבה BragJack של Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) ומדוח AI Risk and Resilience Report 2026 של Mandiant / Google Cloud (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026), עם הדיווח של The Hacker News כמשני (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html ו-https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); קטעי הניתוח נשמרים בנפרד מן הדיווח העובדתי. יש לשים לב שלגבי המוצרים בלי CVE, לא ניתן היה לאשר במלואו ממידע פומבי את מצב התיקון אצל היצרן.