जेव्हा एजंटचे शरीर अपहृत होते — एक एक्सटेंशन पाच उत्पादनांमधील एआय सहाय्यकांना चालवते
Forever Security ने दाखवले की एक सामान्य ब्राउझर एक्सटेंशन पाच उत्पादनांचे अंगभूत एआय चालवू शकतो — Chrome, Comet, Edge, Opera Neon, आणि Claude. स्वतंत्रपणे, Mandiant ने अहवाल दिला की एका हल्लेखोराने एआय कोडिंग-सहाय्यक सत्र अपहृत केले आणि सुमारे 100 रिपॉझिटरींमध्ये Shai-Hulud वर्म पसरवला. आम्ही एजंटिक रनटाइमच्या विश्वास सीमांचा नकाशा काढतो.
हा लेख मशीनने अनुवादित केला आहे.
सप्टेंबर 2026 मध्ये Forever Security चे संशोधक Gal Weizman यांनी दाखवले की केवळ 2 सामान्य परवानग्या असलेला एक ब्राउझर एक्सटेंशन — पृष्ठ बदल आणि declarativeNetRequest — पाच उत्पादनांचे अंगभूत एआय सहाय्यक नियंत्रित करू शकतो: Chrome मधील Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon, आणि Chrome एक्सटेंशनमधील Claude. आर्किटेक्चर उत्पादनांमध्ये सारखे आहे: एआयचे ब्राउझरमध्ये एक "शरीर" आहे जे स्क्रीन पाहू शकते, फाइल्स उघडू शकते आणि कॅमेरा वापरू शकते, आणि विक्रेत्याच्या सर्व्हरवर एक "मेंदू", आणि शरीर केवळ एका विश्वासू पृष्ठाकडून आदेश घेते (उदाहरण gemini.google.com). एक्सटेंशन त्या विश्वासू पृष्ठात स्वतःचा कोड घालतो आणि शरीराशी असे बोलतो जणू तो विक्रेता आहे. Chrome प्रकरण, ज्याला GlicJack म्हणतात, CVE-2026-0628 आहे (CVSS 8.8, Chrome 143 मध्ये दुरुस्त); केवळ Edge निष्कर्षालाही CVE मिळाला, CVE-2026-55945 (CVSS 4.2, दुरुस्त). Comet, Opera Neon आणि Claude यांना CVE नाहीत. Comet सर्वात वाईट प्रकरण होते — एकदा अपहृत झाल्यावर त्याचा एजंट कोणतीही फाइल वाचू शकत होता, ब्राउझिंग इतिहास सूचीबद्ध करू शकत होता, स्क्रीनशॉट घेऊ शकत होता आणि वापरकर्ता म्हणून वागू शकत होता. सर्व निष्कर्ष संशोधक प्रात्यक्षिके आहेत, रानातील हल्ले नाहीत, आणि प्रत्येक गृहीत धरतो की एक्सटेंशन आधीच स्थापित आहे (The Hacker News च्या अहवालानुसार).
वेगळ्या सूत्रात, Mandiant चा सप्टेंबर 2026 अहवाल एका अनामिक SaaS प्रदात्यावरील सक्रिय एआय कोडिंग-सहाय्यक सत्राच्या अपहरणाचे वर्णन करतो. अपहरणानंतर, सहाय्यकाची एक शिफारस — त्या सॉफ्टवेअरसाठी जे हल्लेखोराने विषारी केले होते — मानवाने स्वीकारली, आणि हल्लेखोराने डेव्हलपरचे सत्र वापरून कंपनीच्या अधिकृत नेमस्पेसमध्ये विषारी PyPI पॅकेजमार्फत इन्फोस्टीलर स्थापित केला. GitHub OAuth टोकन चोरले गेले, आणि स्वयं-पसरणारा Shai-Hulud वर्म सुमारे 100 अंतर्गत रिपॉझिटरींमध्ये तैनात केला गेला; दुसऱ्या कर्मचाऱ्याने तडजोड आवृत्ती खेचल्याने दुसरा संसर्ग झाला. Mandiant ने यापूर्वी अहवाल दिला होता की हल्लेखोर 2025 दरम्यान जनरेटिव्ह एआयने काम जलद करण्यापासून पुढे जाऊन मालवेअर आणि जिवंत हल्ल्यांमध्ये LLM एम्बेड करू लागले (The Hacker News आणि Mandiant च्या अहवालानुसार).
विश्लेषण (तथ्यांपासून वेगळे): दोन्ही कथांमध्ये सामायिक हे आहे की एजंटिक आर्किटेक्चरची विश्वास सीमा मानवी मंजुरीवर नाही, एका "पृष्ठा"वर आणि एका "शिफारसी"वर बसते. ब्राउझर-वापर एजंट एकाच विश्वासू डोमेनकडून आदेश स्वीकारतात — पण एक्सटेंशन त्या पृष्ठाची सामग्री पुनर्लेखित करू शकतो, ज्यामुळे एक्सटेंशन विश्वास सीमेत पुरवठा-साखळी मार्ग बनतात. कोडिंग-एजंटच्या बाजूला, एआय शिफारसीची मानवी "मंजुरी" स्वतः एक्झिक्यूशन विशेषाधिकाराचे अनुदान आहे: शिफारसकर्त्याचे इनपुट (पॅकेज रजिस्ट्री) विषारी असेल तर मंजुरी ट्रिगर बनते. ह्यूमन-इन-द-लूपला सहसा सुरक्षा उपाय म्हणतात, तरी दोन्ही प्रकरणांत लूपमधील मानवाने शिफारसीची पडताळणी केली नाही — ती औपचारिकता होती.
संरक्षणात्मक परिणाम: (1) ज्या एंडपॉइंटवर एआय सहाय्यक सक्षम आहेत, तिथे एक्सटेंशन परवानग्यांची यादी एजंट क्षमतांसोबत करा — जर एक एक्सटेंशन एजंटच्या "शरीरा"मार्फत फाइल वाचन आणि कॅमेरा प्रवेशापर्यंत पोहोचू शकत असेल, तर त्याला परवानगी देणे खरे विशेषाधिकार अनुदान आहे. (2) कोणत्याही एआय-शिफारस केलेल्या पॅकेज किंवा साधनाला, मानवी-मंजूर असले तरी, नव्याने उघडलेला पुरवठा-साखळी मार्ग माना ज्याला पडताळणी हवी. (3) विश्वासू-डोमेनच्या बाजूला, उरलेल्या कमांड चॅनेलची यादी करा जसे चाचणी उपडोमेन (एक उरलेला चाचणी पत्ता Comet साठी यशाचा बिंदू होता). (4) एजंट वाचू शकणाऱ्या फाइल्स आणि तो धरणारे टोकन (उदाहरण OAuth) कमीत कमी ठेवा. हे आमचे विश्लेषण आहे, विक्रेता मार्गदर्शन नाही.
या लेखातील तथ्ये प्रामुख्याने Forever Security च्या BragJack लेखातून (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) आणि Mandiant / Google Cloud च्या AI Risk and Resilience Report 2026 मधून (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026) घेतली आहेत, दुय्यम म्हणून The Hacker News अहवालासह (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html आणि https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); विश्लेषण खंड तथ्यात्मक अहवालापासून वेगळे ठेवले आहेत. लक्षात घ्या की ज्या उत्पादनांना CVE नाहीत, त्यांच्या विक्रेता उपचाराची स्थिती सार्वजनिक माहितीतून पूर्ण पुष्ट करता आली नाही.