Ketika tubuh agen dibajak — satu ekstensi menggerakkan asisten AI di lima produk
Forever Security menunjukkan bahwa satu ekstensi peramban biasa dapat menggerakkan AI bawaan lima produk — Chrome, Comet, Edge, Opera Neon, dan Claude. Secara terpisah, Mandiant melaporkan seorang penyerang membajak sesi asisten pengodean AI dan menyebarkan worm Shai-Hulud ke sekitar 100 repositori. Kami memetakan batas kepercayaan runtime agentik.
Artikel ini diterjemahkan oleh mesin.
Pada September 2026, peneliti Forever Security Gal Weizman menunjukkan bahwa satu ekstensi peramban yang hanya memegang dua izin yang umum — modifikasi halaman dan declarativeNetRequest — dapat mengendalikan asisten AI bawaan lima produk: Gemini Live di Chrome, Perplexity Comet, Microsoft Edge, Opera Neon, dan ekstensi Claude in Chrome. Arsitekturnya sama di seluruh produk: AI memiliki "tubuh" di dalam peramban yang dapat melihat layar, membuka berkas, dan menggunakan kamera, serta "otak" di server vendor, dan tubuh hanya menerima perintah dari satu halaman tepercaya (mis. gemini.google.com). Ekstensi menyelipkan kodenya sendiri ke halaman tepercaya itu dan berbicara kepada tubuh seolah-olah ia adalah vendor. Kasus Chrome, yang dikenal sebagai GlicJack, adalah CVE-2026-0628 (CVSS 8.8, diperbaiki di Chrome 143); hanya temuan Edge yang juga menerima CVE, yaitu CVE-2026-55945 (CVSS 4.2, diperbaiki). Comet, Opera Neon, dan Claude tidak memiliki CVE. Comet adalah kasus terburuk — setelah dibajak, agennya dapat membaca berkas apa pun, mencantumkan riwayat penjelajahan, mengambil tangkapan layar, dan bertindak sebagai pengguna. Semua temuan adalah demonstrasi peneliti, bukan serangan in-the-wild, dan masing-masing mengasumsikan bahwa ekstensi sudah terpasang (menurut pemberitaan The Hacker News).
Pada utas yang terpisah, laporan Mandiant bulan September 2026 menggambarkan seorang penyerang yang membajak sesi asisten pengodean AI yang aktif di penyedia SaaS yang tidak disebutkan namanya. Setelah pembajakan, rekomendasi dari asisten — untuk perangkat lunak yang telah diracuni penyerang — diterima oleh manusia, dan penyerang menggunakan sesi pengembang untuk memasang infostealer melalui paket PyPI yang diracuni di dalam namespace resmi perusahaan. Token OAuth GitHub dicuri, dan worm yang menyebar sendiri, Shai-Hulud, disebarkan ke kira-kira 100 repositori internal; karyawan kedua yang menarik versi yang terkompromi menyebabkan infeksi kedua. Mandiant sebelumnya telah melaporkan bahwa penyerang beralih selama 2025, dari menggunakan AI generatif untuk mempercepat pekerjaan menjadi menanamkan LLM dalam malware dan serangan langsung (menurut The Hacker News dan pemberitaan Mandiant).
Analisis (dipisahkan dari fakta): yang sama pada kedua cerita adalah bahwa batas kepercayaan arsitektur agentik berada pada "halaman" dan "rekomendasi", bukan pada persetujuan manusia. Agen browser-use menerima perintah dari satu domain tepercaya — tetapi ekstensi dapat menulis ulang isi halaman itu, sehingga ekstensi menjadi jalur rantai pasokan ke dalam batas kepercayaan. Di sisi agen pengodean, "persetujuan" manusia atas rekomendasi AI itu sendiri adalah pemberian hak eksekusi: jika masukan pemberi rekomendasi (registri paket) diracuni, persetujuan itu menjadi pemicu. Human-in-the-loop biasanya digambarkan sebagai langkah keselamatan, tetapi dalam kedua kasus manusia yang berada di dalam loop tidak memvalidasi rekomendasi — hal itu formalitas.
Implikasi defensif: (1) Pada endpoint tempat asisten AI diaktifkan, inventarisasi izin ekstensi bersama kemampuan agen — jika satu ekstensi dapat menjangkau pembacaan berkas dan akses kamera melalui "tubuh" agen, memberinya izin adalah pemberian hak istimewa yang nyata. (2) Perlakukan paket atau alat yang direkomendasikan AI, bahkan yang disetujui manusia, sebagai jalur rantai pasokan yang baru dibuka dan perlu divalidasi. (3) Di sisi domain tepercaya, inventarisasi saluran perintah yang tersisa seperti subdomain uji (alamat pengujian yang tersisa adalah terobosan bagi Comet). (4) Minimalkan berkas yang dapat dibaca agen dan token (mis. OAuth) yang dipegangnya. Ini adalah analisis kami, bukan panduan vendor.
Fakta dalam artikel ini diambil terutama dari tulisan BragJack Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) dan Laporan AI Risk and Resilience 2026 dari Mandiant / Google Cloud (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026), dengan pemberitaan The Hacker News sebagai sekunder (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html dan https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); bagian analisis dijaga terpisah dari pelaporan faktual. Perlu dicatat bahwa untuk produk yang tidak memiliki CVE, status remediasi vendor tidak dapat dikonfirmasi sepenuhnya dari informasi publik.