Когда захватывают тело агента — одно расширение ведёт помощников ИИ в пяти продуктах
Forever Security показала, что одно обычное расширение браузера могло вести встроенный ИИ пяти продуктов — Chrome, Comet, Edge, Opera Neon и Claude. Отдельно Mandiant сообщила об атакующем, который захватил сеанс помощника по написанию кода на ИИ и распространил червя Shai-Hulud примерно на 100 репозиториев. Мы наносим на карту границы доверия агентных сред выполнения.
Эта статья была переведена машиной.
В сентябре 2026 года исследователь Forever Security Gal Weizman продемонстрировал, что одно расширение браузера, обладающее лишь двумя обычными разрешениями — изменение страницы и declarativeNetRequest, — могло управлять встроенными помощниками ИИ пяти продуктов: Gemini Live в Chrome, Perplexity Comet, Microsoft Edge, Opera Neon и расширением Claude in Chrome. Архитектура у продуктов одна и та же: у ИИ есть «тело» внутри браузера, которое может видеть экран, открывать файлы и пользоваться камерой, и «мозг» на серверах поставщика, и тело принимает приказы только от одной доверенной страницы (например, gemini.google.com). Расширение вставляет собственный код в эту доверенную страницу и обращается к телу так, будто оно и есть поставщик. Случай Chrome, известный как GlicJack, — это CVE-2026-0628 (CVSS 8.8, исправлено в Chrome 143); CVE получил также только вывод по Edge, CVE-2026-55945 (CVSS 4.2, исправлено). У Comet, Opera Neon и Claude номеров CVE нет. Comet был худшим случаем: после захвата его агент мог читать любой файл, перечислять историю просмотра, делать снимки экрана и действовать как пользователь. Все выводы являются демонстрациями исследователя, а не атаками in the wild, и каждый предполагает, что расширение уже установлено (по сообщению The Hacker News).
В отдельной линии отчёт Mandiant за сентябрь 2026 года описывает атакующего, который захватил активный сеанс помощника по написанию кода на ИИ у неназванного поставщика SaaS. После захвата рекомендация помощника — относительно программного обеспечения, которое атакующий отравил, — была принята человеком, и атакующий использовал сеанс разработчика, чтобы установить похититель информации через отравленный пакет PyPI внутри официального пространства имён компании. Были похищены токены OAuth GitHub, и самораспространяющийся червь Shai-Hulud был развёрнут примерно на 100 внутренних репозиториев; второй сотрудник, получивший скомпрометированную версию, вызвал второе заражение. Ранее Mandiant сообщала, что в течение 2025 года атакующие перешли от использования порождающего ИИ для ускорения работы к встраиванию LLM во вредоносные программы и в live-атаки (по сообщениям The Hacker News и Mandiant).
Анализ (отделён от фактов): общее у двух историй то, что граница доверия агентных архитектур лежит на «странице» и на «рекомендации», а не на одобрении человека. Агенты, пользующиеся браузером, принимают команды от одного доверенного домена, но расширение может переписать содержимое этой страницы, и тогда расширения становятся путём цепочки поставок внутрь границы доверия. На стороне агента написания кода человеческое «одобрение» рекомендации ИИ само является выдачей привилегии выполнения: если вход того, кто рекомендует (реестр пакетов), отравлен, одобрение становится спуском. Схему с человеком в контуре обычно описывают как меру безопасности, однако в обоих случаях человек в контуре не проверял рекомендацию: это была формальность.
Выводы для защиты: (1) На конечных точках, где включены помощники ИИ, инвентаризируйте разрешения расширений вместе с возможностями агента: если одно расширение может дойти до чтения файлов и доступа к камере через «тело» агента, выдача ему разрешений есть реальная выдача привилегии. (2) Любой пакет или инструмент, который рекомендовал ИИ, даже если его одобрил человек, рассматривайте как только что открытый путь цепочки поставок, нуждающийся в проверке. (3) Со стороны доверенного домена инвентаризируйте оставшиеся каналы команд, такие как тестовые поддомены (оставшийся тестовый адрес стал прорывом для Comet). (4) Сведите к минимуму файлы, которые агент может читать, и токены (например, OAuth), которые он держит. Это наш анализ, а не руководство поставщика.
Факты этой статьи взяты в первую очередь из разбора BragJack компании Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) и из AI Risk and Resilience Report 2026 от Mandiant / Google Cloud (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026); сообщение The Hacker News служит вторичным источником (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html и https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); разделы анализа отделены от фактического изложения. Отметим, что для продуктов без CVE статус устранения у поставщика не удалось полностью подтвердить по публичной информации.