جب ایجنٹ کا جسم اغوا ہوتا ہے — ایک ایکسٹینشن پانچ مصنوعات میں اے آئی معاونوں کو چلاتا ہے
Forever Security نے دکھایا کہ ایک عام براؤزر ایکسٹینشن پانچ مصنوعات کے اندرونی اے آئی کو چلا سکتا ہے — Chrome، Comet، Edge، Opera Neon، اور Claude۔ الگ سے، Mandiant نے رپورٹ کیا کہ ایک حملہ آور نے اے آئی کوڈنگ معاون سیشن اغوا کیا اور تقریباً 100 ریپازیٹریوں میں Shai-Hulud ورم پھیلایا۔ ہم ایجنٹک رن ٹائم کی اعتماد کی حدوں کا نقشہ بناتے ہیں۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
ستمبر 2026 میں Forever Security کے محقق Gal Weizman نے دکھایا کہ صرف 2 عام اجازتوں والا ایک براؤزر ایکسٹینشن — صفحہ ترمیم اور declarativeNetRequest — پانچ مصنوعات کے اندرونی اے آئی معاونوں کو کنٹرول کر سکتا ہے: Chrome میں Gemini Live، Perplexity Comet، Microsoft Edge، Opera Neon، اور Chrome ایکسٹینشن میں Claude۔ فن تعمیر مصنوعات میں ایک جیسا ہے: اے آئی کا براؤزر کے اندر ایک "جسم" ہے جو سکرین دیکھ سکتا ہے، فائلیں کھول سکتا ہے اور کیمرہ استعمال کر سکتا ہے، اور فروش کے سروروں پر ایک "دماغ"، اور جسم صرف ایک قابل اعتماد صفحے سے حکم لیتا ہے (مثال gemini.google.com)۔ ایکسٹینشن اس قابل اعتماد صفحے میں اپنا کوڈ ڈالتا ہے اور جسم سے ایسے بولتا ہے گویا وہ فروش ہو۔ Chrome کا معاملہ، جسے GlicJack کہا جاتا ہے، CVE-2026-0628 ہے (CVSS 8.8، Chrome 143 میں درست)؛ صرف Edge کے نتیجے کو بھی CVE ملا، CVE-2026-55945 (CVSS 4.2، درست)۔ Comet، Opera Neon اور Claude کے کوئی CVE نہیں۔ Comet بدترین معاملہ تھا — ایک بار اغوا ہونے پر اس کا ایجنٹ کوئی بھی فائل پڑھ سکتا تھا، براؤزنگ تاریخ فہرست کر سکتا تھا، اسکرین شاٹ لے سکتا تھا اور صارف کے طور پر عمل کر سکتا تھا۔ تمام نتائج محقق کے مظاہرے ہیں، حقیقی ماحول میں حملے نہیں، اور ہر ایک فرض کرتا ہے کہ ایکسٹینشن پہلے سے نصب ہے (The Hacker News کی رپورٹ کے مطابق)۔
ایک الگ سلسلے میں، Mandiant کی ستمبر 2026 رپورٹ ایک بے نام SaaS فراہم کنندہ پر فعال اے آئی کوڈنگ معاون سیشن کے اغوا کو بیان کرتی ہے۔ اغوا کے بعد، معاون کی ایک سفارش — اس سافٹ ویئر کے لیے جسے حملہ آور نے زہریلا کیا تھا — انسان نے قبول کر لی، اور حملہ آور نے ڈویلپر کے سیشن کا استعمال کر کمپنی کے سرکاری نیم اسپیس کے اندر ایک زہریلے PyPI پیکج کے ذریعے انفو سٹیلر نصب کیا۔ GitHub OAuth ٹوکن چوری ہوئے، اور خود پھیلنے والا Shai-Hulud ورم تقریباً 100 داخلی ریپازیٹریوں میں تعینات کیا گیا؛ ایک دوسرے ملازم کے سمجھوتہ شدہ نسخہ کھینچنے سے دوسرا انفیکشن ہوا۔ Mandiant نے پہلے رپورٹ کیا تھا کہ حملہ آور 2025 کے دوران جنریٹو اے آئی سے کام تیز کرنے سے آگے بڑھ کر مالویئر اور زندہ حملوں میں LLM شامل کرنے لگے (The Hacker News اور Mandiant کی رپورٹ کے مطابق)۔
تجزیہ (حقائق سے الگ): دونوں کہانیوں میں مشترک یہ ہے کہ ایجنٹک فن تعمیر کی اعتماد کی حد انسانی منظوری پر نہیں، ایک "صفحے" اور ایک "سفارش" پر بیٹھتی ہے۔ براؤزر استعمال ایجنٹ ایک ہی قابل اعتماد ڈومین سے حکم قبول کرتے ہیں — مگر ایک ایکسٹینشن اس صفحے کا مواد دوبارہ لکھ سکتا ہے، جس سے ایکسٹینشن اعتماد کی حد میں سپلائی چین راستہ بن جاتے ہیں۔ کوڈنگ ایجنٹ کی طرف، اے آئی سفارش کی انسانی "منظوری" خود عملدرآمد مراعات کا عطا ہے: اگر سفارش کنندہ کا ان پٹ (پیکج رجسٹری) زہریلا ہے، تو منظوری ٹرگر بن جاتی ہے۔ ہیومن ان دی لوپ کو عموماً حفاظتی تدبیر کہا جاتا ہے، پھر بھی دونوں صورتوں میں لوپ میں انسان نے سفارش کی تصدیق نہیں کی — وہ رسم تھی۔
دفاعی مضمرات: (1) جن اینڈ پوائنٹ پر اے آئی معاون فعال ہیں، وہاں ایکسٹینشن اجازتوں کی فہرست ایجنٹ صلاحیتوں کے ساتھ بنائیں — اگر ایک ایکسٹینشن ایجنٹ کے "جسم" کے ذریعے فائل پڑھنے اور کیمرہ رسائی تک پہنچ سکتا ہے، تو اسے اجازت دینا حقیقی مراعات کا عطا ہے۔ (2) کسی بھی اے آئی تجویز کردہ پیکج یا ٹول کو، انسانی منظوری کے باوجود، ایک نیا کھلا سپلائی چین راستہ مانیں جسے تصدیق چاہیے۔ (3) قابل اعتماد ڈومین کی طرف، رہ گئے کمانڈ چینلوں کی فہرست بنائیں جیسے آزمائشی ذیلی ڈومین (ایک رہ گیا آزمائشی پتہ Comet کے لیے کامیابی کا نقطہ تھا)۔ (4) وہ فائلیں کم سے کم کریں جو ایجنٹ پڑھ سکتا ہے اور وہ ٹوکن (مثال OAuth) جو وہ رکھتا ہے۔ یہ ہمارا تجزیہ ہے، فروش کی رہنمائی نہیں۔
اس مضمون کے حقائق بنیادی طور پر Forever Security کے BragJack مضمون (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) اور Mandiant / Google Cloud کی AI Risk and Resilience Report 2026 (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026) سے لیے گئے ہیں، ثانوی طور پر The Hacker News کی رپورٹ کے ساتھ (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html اور https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html)؛ تجزیہ حصوں کو حقائق کی رپورٹنگ سے الگ رکھا گیا ہے۔ نوٹ کریں کہ جن مصنوعات کے CVE نہیں، ان کی فروش علاج کی حیثیت عوامی معلومات سے مکمل تصدیق نہیں ہو سکی۔