Quando il corpo dell'agente viene dirottato — una sola estensione che guida gli assistenti AI su cinque prodotti
Forever Security ha mostrato che una singola estensione browser ordinaria poteva guidare l'AI integrata di cinque prodotti — Chrome, Comet, Edge, Opera Neon e Claude. Separatamente, Mandiant ha riferito di un attaccante che ha dirottato una sessione di assistente di coding AI e ha diffuso il worm Shai-Hulud su circa 100 repository. Mappiamo i confini di fiducia dei runtime agentici.
Questo articolo è stato tradotto automaticamente.
Nel settembre 2026, il ricercatore di Forever Security Gal Weizman ha dimostrato che una singola estensione browser, in possesso di soli due permessi comuni — modifica della pagina e declarativeNetRequest — poteva controllare gli assistenti AI integrati di cinque prodotti: Gemini Live in Chrome, Perplexity Comet, Microsoft Edge, Opera Neon e l'estensione Claude in Chrome. L'architettura è la stessa tra i prodotti: l'AI ha un «corpo» dentro il browser che può vedere lo schermo, aprire file e usare la fotocamera, e un «cervello» sui server del vendor, e il corpo prende ordini soltanto da una singola pagina fidata (ad es. gemini.google.com). L'estensione inserisce il proprio codice in quella pagina fidata e parla al corpo come se fosse il vendor. Il caso Chrome, noto come GlicJack, è CVE-2026-0628 (CVSS 8.8, corretto in Chrome 143); soltanto il finding di Edge ha ricevuto anch'esso un CVE, CVE-2026-55945 (CVSS 4.2, corretto). Comet, Opera Neon e Claude non hanno CVE. Comet è stato il caso peggiore — una volta dirottato, il suo agent poteva leggere qualsiasi file, elencare la cronologia di navigazione, acquisire screenshot e agire come l'utente. Tutti i finding sono dimostrazioni di ricercatori, non attacchi in the wild, e ciascuno presuppone che l'estensione sia già installata (secondo la cronaca di The Hacker News).
In un filo separato, il rapporto di settembre 2026 di Mandiant descrive un attaccante che dirotta una sessione attiva di assistente di coding AI presso un provider SaaS non nominato. Dopo il dirottamento, una raccomandazione dell'assistente — per software che l'attaccante aveva avvelenato — è stata accettata dall'umano, e l'attaccante ha usato la sessione dello sviluppatore per installare un infostealer attraverso un pacchetto PyPI avvelenato dentro il namespace ufficiale dell'azienda. Sono stati rubati token OAuth di GitHub, e il worm auto-diffusivo Shai-Hulud è stato distribuito su circa 100 repository interni; un secondo dipendente che ha prelevato la versione compromessa ha causato una seconda infezione. Mandiant aveva riferito in precedenza che nel 2025 gli attaccanti sono passati dall'usare l'AI generativa per accelerare il lavoro all'incorporare gli LLM nel malware e negli attacchi dal vivo (secondo la cronaca di The Hacker News e di Mandiant).
Analisi (separata dai fatti): ciò che le due storie condividono è che il confine di fiducia delle architetture agentiche poggia su una «pagina» e su una «raccomandazione», piuttosto che sull'approvazione umana. Gli agent di tipo browser-use accettano comandi da un singolo dominio fidato — ma un'estensione può riscrivere i contenuti di quella pagina, rendendo le estensioni un percorso di supply chain dentro il confine di fiducia. Dal lato dell'agent di coding, l'«approvazione» umana di una raccomandazione AI è essa stessa la concessione del privilegio di esecuzione: se l'input di chi raccomanda (il registry dei pacchetti) è avvelenato, l'approvazione diventa l'innesco. L'human-in-the-loop è di solito descritto come una misura di sicurezza, eppure in entrambi i casi l'umano nel ciclo non ha validato la raccomandazione — era una formalità.
Implicazioni difensive: (1) Sugli endpoint in cui gli assistenti AI sono abilitati, inventariare i permessi delle estensioni insieme alle capacità dell'agent — se un'estensione può raggiungere letture di file e accesso alla fotocamera attraverso il «corpo» dell'agent, concederle permessi è una vera concessione di privilegio. (2) Trattare qualsiasi pacchetto o strumento raccomandato dall'AI, anche se approvato da un umano, come un percorso di supply chain appena aperto che richiede validazione. (3) Dal lato del dominio fidato, inventariare i canali di comando residui come i sottodomini di test (un indirizzo di test residuo è stato lo sfondamento per Comet). (4) Minimizzare i file che un agent può leggere e i token (ad es. OAuth) che detiene. Queste sono la nostra analisi, non una guida del vendor.
I fatti di questo articolo sono tratti principalmente dal write-up BragJack di Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) e dall'AI Risk and Resilience Report 2026 di Mandiant / Google Cloud (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026), con la cronaca di The Hacker News come fonte secondaria (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html e https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); le sezioni di analisi sono tenute separate dal resoconto fattuale. Si noti che, per i prodotti senza CVE, lo stato di remediation del vendor non ha potuto essere confermato appieno a partire dalle informazioni pubbliche.