براغ جاك يوضح كيف يمكن لإضافة واحدة خبيثة أن توجه وكلاء التصفح بالذكاء الاصطناعي

BragJack، وهو مشروع بحثي للباحث الأمني غال وايزمان من Forever Security، يعرض خطرا مرتبطا بوكلاء التصفح يبدأ بشرط مألوف: يجب أولا تثبيت إضافة خبيثة. ما يتغير بعد ذلك التثبيت هو نطاق التأثير. فقد أظهرت العروض أن إضافة واحدة، بمجرد وجودها في Chrome أو في سياق متصفح آخر مدعوم، يمكنها توجيه عدة وكلاء تصفح بالذكاء الاصطناعي، وفي بعض الحالات تشغيل إجراءات من دون نقرة أخرى من المستخدم.

من أمر روبوت الدردشة إلى التحكم في المتصفح

جرى عرض البحث ضد Chrome مع Gemini Live وPerplexity Comet وMicrosoft Edge وOpera Neon وClaude داخل Chrome. هذه القائمة مهمة لأن المسألة لا تُعرض على أنها عيب منفرد في مساعد واحد. إنها نمط تلتقي فيه وكلاء التصفح بالذكاء الاصطناعي، وواجهات المتصفح، وآليات الإضافات. يصبح المتصفح البيئة المشتركة، وتصبح الإضافة موضعا يستطيع منه المهاجم التأثير في ما يراه الوكيل أو يفعله.

هذا التمييز أساسي في التحليل. فحقن الأوامر التقليدي يعتمد عادة على وضع تعليمات خبيثة في مكان يقرأه النموذج، مثل محتوى الصفحة. أما BragJack فيستخدم تقنية تسمى Prompt Forcing، ويفصلها البحث عن حقن الأوامر العادي. الفكرة ليست فقط إخفاء تعليمات في نص، بل استخدام تلاعب على مستوى المتصفح بحيث يُقاد وكيل الذكاء الاصطناعي عبر بيئة خاضعة للسيطرة.

تتضمن الآلية التقنية الموصوفة في البحث قواعد طلبات شبكة تصريحية. ويمكن استخدام هذه القواعد لتعديل ترويسات الأمان أو عمليات إعادة التوجيه. عمليا، يعني ذلك أن الإضافة تستطيع تغيير كيفية تصرف حركة المتصفح وحماياته قبل أن يفسر وكيل الذكاء الاصطناعي الصفحة أو سير العمل الناتج. وقد يتصرف الوكيل بعد ذلك بناء على حالة صفحة جرى تشكيلها مسبقا بواسطة الإضافة الخبيثة.

ما أظهرته العروض

شملت التأثيرات المعروضة قراءة ملفات محلية وسجل التصفح، والتقاط لقطات شاشة، وإمكانية الوصول إلى الكاميرات أو الميكروفونات. هذه واجهات شديدة الحساسية على مستوى المتصفح والجهاز، ووجودها في العروض يفسر لماذا يتجاوز البحث حالة نظرية للتلاعب بالأوامر. المسألة تتعلق بوكيل تصفح بالذكاء الاصطناعي يعمل داخل بيئة ربما غيّرت فيها إضافة خبيثة الافتراضات المتعلقة بالوصول أو السياق أو التدفق.

في أحد عروض Perplexity Comet، جرى تسريب معلومات أثناء تلخيص البريد الإلكتروني. يوضح هذا السيناريو الخطر العملي للجمع بين مهمة اعتيادية للذكاء الاصطناعي وتدخل على مستوى المتصفح. الهدف المرئي للمستخدم بسيط: الطلب من وكيل تلخيص البريد. أما النتيجة الخفية فمختلفة: تغادر المعلومات السياق المتوقع. ولا تقيس المعطيات المتاحة هنا مدى إمكان حدوث ذلك على نطاق واسع في عمليات نشر فعلية، لكنها تظهر أن فئة الهجوم قابلة للتنفيذ ضمن الشروط المذكورة.

استغل مثال Microsoft Edge Think-and-Do حالة سباق. يضيف هذا التفصيل بعدا آخر إلى البحث لأنه يبين أن السلوك لا يقتصر على التلاعب الثابت بالمحتوى. فالتوقيت وترتيب التنفيذ قد يكونان مهمين عندما تعمل وكلاء التصفح بالذكاء الاصطناعي عبر مسارات عمل داخل المتصفح. في مثل هذه الحالات، لا يشمل سطح الهجوم ما يقرأه الوكيل فقط، بل أيضا متى ينفذ المتصفح والوكيل خطوات معينة.

وتقول التقارير أيضا إن بعض الإجراءات يمكن أن تحدث من دون نقرة أخرى بعد تثبيت الإضافة الخبيثة. هذا لا يلغي شرط التثبيت الأولي، الذي يبقى قيدا رئيسيا. لكنه يغير نموذج تفاعل المستخدم بعد الاختراق. فقد يعتقد المستخدم أن الخطر يعتمد على الموافقة المتكررة على الإجراءات، بينما يظهر البحث أن الإضافة المثبتة تستطيع خلق ظروف لا تكون فيها الحاجة إلى تفاعل إضافي قائمة دائما.

ما تثبته أرقام المكافآت

أنتج البحث أكثر من 20,000 دولار من المكافآت، مع جوائز فردية تراوحت بين 600 و7,000 دولار. تثبت هذه الأرقام أن الجهات التي تلقت التقارير تعاملت مع بعض النتائج على الأقل على أنها صالحة ضمن برامجها وتستحق المكافأة. كما تشير إلى أن البحث لم يكن بلاغا منفردا ومعزولا، بل مجموعة من المسائل ذات أهمية كافية للحصول على عدة مكافآت عبر نطاق من القيم.

لا تثبت هذه الأرقام الانتشار في الواقع، ولا تعرض المستخدمين على نطاق واسع، ولا أن كل وكيل تصفح بالذكاء الاصطناعي يتأثر بالطريقة نفسها. مبالغ مكافآت الثغرات ليست قياسا لتكرار الاستغلال. وهي أيضا ليست سلما موحدا للشدة عبر جميع الموردين والسياقات. يمكن أن تعكس مكافأة بقيمة 600 دولار وأخرى بقيمة 7,000 دولار قواعد البرنامج، وتقييم الأثر، وتفاصيل إعادة الإنتاج، ونطاق المورد، وهي عناصر لا ينبغي اختزالها في درجة خطر واحدة.

يتضمن البحث CVE-2026-0628 وCVE-2026-55945. أهمية تخصيص CVE تكمن في أنه يمنح مسائل محددة أُبلغ عنها معرفات يمكن تتبعها بمعزل عن مفهوم BragJack الأوسع. لكنه لا يعني بحد ذاته أن الثغرة نفسها موجودة في كل وكيل ورد اسمه في العروض. الاستنتاج الأقوى أضيق نطاقا: جرى تحديد مسائل محددة والإبلاغ عنها وفهرستها ضمن تحقيق أوسع في إساءة استخدام وكلاء المتصفح المدفوعة بالإضافات.

الإصلاحات والدلالات العملية

أصلحت Google وMicrosoft مسائل أُبلغ عنها. وهذا تمييز مهم بين ادعاء البحث واستجابة الموردين: فالإصلاحات تنطبق على المسائل المبلغ عنها، وليس بالضرورة على كل سيناريو ممكن من Prompt Forcing مدفوع بالإضافات. لا تصف الوقائع المتاحة هنا إصلاحات من كل منتج ورد اسمه، ولا تذكر أن الفئة الأوسع قد أزيلت. الدلالة العملية هي أن أمن وكلاء المتصفح لا يمكن التعامل معه فقط كمشكلة مواءمة للنماذج.

بالنسبة إلى المستخدمين والمؤسسات، الدرس المباشر يتعلق بالإضافات المثبتة. يتطلب BragJack تثبيت إضافة خبيثة، لذلك يبقى قرار الثقة الأولي حاسما. لكن بمجرد تحقق هذا الشرط، قد يعمل الوكيل داخل سياق متصفح يستطيع المهاجم التأثير فيه. هذا يغير حساب المخاطر: فالإضافة ليست مجرد ملحق لواجهة المتصفح، بل يمكن أن تصبح نقطة تحكم في سلوك التصفح المعزز بالذكاء الاصطناعي.

بالنسبة إلى المطورين وفرق المنصات، يشير البحث إلى الحد الفاصل بين قدرات الإضافات، وترويسات أمان المتصفح، وعمليات إعادة التوجيه، واستقلالية الوكيل. صُممت وكلاء التصفح بالذكاء الاصطناعي لقراءة محتوى الويب وتلخيصه والتصرف عبره، لكن BragJack يظهر أن محتوى الويب وحالة المتصفح قد يجري تشكيلهما بنشاط بواسطة إضافة قبل أن يستجيب الوكيل. لذلك يجب أن يميز التصميم الأمني بين ما طلبه المستخدم، وما استنتجه الوكيل، وما جرى التلاعب ببيئة المتصفح لعرضه.

التغيير الرئيسي الذي يبرزه BragJack ليس أن إضافات المتصفح يمكن أن تكون خبيثة؛ فهذا الافتراض قائم أصلا في شرط الهجوم نفسه. التغيير هو أن وكلاء التصفح بالذكاء الاصطناعي يمنحون التلاعب على مستوى المتصفح مسارا جديدا نحو عواقب. يمكن لإضافة واحدة مثبتة أن تؤثر في عدة وكلاء، وتظهر العروض آثارا تمتد من الوصول إلى البيانات إلى إساءة استخدام مسارات العمل. لا يثبت البحث اختراقا شاملا، لكنه يوضح لماذا يجب تقييم الثقة في الإضافات، ووساطة المتصفح، وإجراءات وكلاء الذكاء الاصطناعي معا.