BragJack 显示一个恶意扩展如何引导 AI 浏览器代理

BragJack 是 Forever Security 安全研究员 Gal Weizman 的一个研究项目，展示了一类浏览器代理风险，而它始于一个熟悉的前提：恶意扩展必须先被安装。安装之后发生变化的是影响范围。演示显示，一个扩展一旦存在于 Chrome 或另一个受支持的浏览器环境中，就可能引导多个 AI 浏览代理，并且在某些情况下，无需用户再次点击即可触发操作。

从聊天机器人提示到浏览器控制

这项研究针对 Chrome 中的 Gemini Live、Perplexity Comet、Microsoft Edge、Opera Neon 以及 Chrome 中的 Claude 进行了演示。这个名单很重要，因为该问题并未被呈现为某一个助手中的单一缺陷。它是一种模式：AI 浏览代理、浏览器界面和扩展机制在其中交汇。浏览器成为共享环境，而扩展则成为攻击者影响代理所见内容或所执行动作的位置。

这一区分是分析的核心。普通提示注入通常依赖于把恶意指令放在模型会读取的位置，例如网页内容中。BragJack 使用一种名为 Prompt Forcing 的技术，研究将其与普通提示注入区分开来。重点不仅是把指令隐藏在文本中，而是利用浏览器层面的操纵，使 AI 代理被引导穿过一个受控环境。

研究中描述的技术机制涉及声明式网络请求规则。这些规则可用于修改安全标头或重定向。实际而言，这意味着扩展可以在 AI 代理解释最终页面或工作流之前，改变浏览器流量和浏览器保护的行为方式。随后，代理可能会基于一个已经被恶意扩展塑造过的页面状态采取行动。

演示显示了什么

演示中的影响包括读取本地文件和历史记录、截取屏幕截图，以及可能触及摄像头或麦克风。这些都是高敏感度的浏览器和设备界面，它们出现在演示中，解释了为什么这项研究不只是一个理论上的提示操纵案例。问题在于，AI 浏览器代理运行在一个恶意扩展可能已经改变访问、上下文或流程相关假设的环境中。

一个 Perplexity Comet 演示在总结电子邮件时外泄了信息。这个场景说明，将常规 AI 任务与浏览器层面的干扰结合起来会带来实际风险。用户可见的目标很简单：让代理总结电子邮件。隐藏的结果则不同：信息离开了预期上下文。所提供事实没有量化这种情况在真实部署中能发生多广，但该演示显示，在所述条件下，这一攻击类别是可执行的。

一个 Microsoft Edge Think-and-Do 示例利用了竞争条件。这个细节为研究增加了另一个维度，因为它显示该行为并不限于静态内容操纵。当 AI 浏览代理通过浏览器工作流行动时，时序和执行顺序可能很重要。在这类情况下，攻击面不仅包括代理读取什么，还包括浏览器和代理在何时执行特定步骤。

报告还称，在恶意扩展被安装后，某些操作可以在没有再次点击的情况下发生。这并没有取消初始安装要求，而该要求仍然是一个关键限制。但它改变了攻陷之后的用户交互模型。用户可能认为风险取决于是否反复批准操作，而研究显示，已安装扩展可以创造一些条件，使额外交互并非总是必要。

悬赏金额证明了什么

这项研究带来了超过 20,000 美元的漏洞赏金，单项奖励从 600 美元到 7,000 美元不等。这些数字证明，收到报告的相关方至少把其中一些发现视为其项目规则下有效且值得奖励的问题。它们也表明，这项研究并不是一份孤立报告，而是一组足以在一系列金额范围内获得多次奖励的问题。

这些数字并不能证明野外流行程度、用户大规模暴露情况，或每个 AI 浏览代理都以相同方式受到影响。漏洞赏金金额不是对利用频率的测量。它们也不是适用于所有供应商和情境的标准化严重性等级。600 美元奖励和 7,000 美元奖励可能反映项目规则、影响评估、复现细节和供应商范围，不能被压缩成一个单一风险分数。

该研究包括 CVE-2026-0628 和 CVE-2026-55945。CVE 分配很重要，因为它为具体报告的问题提供了可追踪的标识符，使其可与更广泛的 BragJack 概念区分开来。但这本身并不意味着同一个漏洞存在于演示中提到的每一个代理里。更稳妥的结论更窄：作为一项围绕扩展驱动的浏览器代理滥用展开的更广泛调查的一部分，具体问题被识别、报告并编目。

修复与实际含义

Google 和 Microsoft 修复了已报告的问题。这是研究主张与供应商回应之间的重要区别：修复适用于已报告的问题，不一定适用于每一种可能由扩展驱动的 Prompt Forcing 场景。这里可用的事实没有描述每个被点名产品的修复情况，也没有说明更广泛的类别已经被消除。实际含义是，浏览器代理安全不能只被当作模型对齐问题来处理。

对于用户和组织而言，最直接的教训涉及已安装扩展。BragJack 要求安装恶意扩展，因此初始信任决策仍然关键。不过，一旦满足这一条件，代理就可能在攻击者能够影响的浏览器上下文中运行。这改变了风险计算：扩展不仅仅是浏览器界面的附加组件；它可以成为 AI 辅助浏览行为的控制点。

对于开发者和平台团队而言，这项研究指向扩展能力、浏览器安全标头、重定向和代理自主性之间的边界。AI 浏览代理被设计用于读取、总结并跨网页内容执行操作，但 BragJack 显示，在代理响应之前，网页内容和浏览器状态可能已被扩展主动塑造。因此，安全设计必须区分用户提出了什么、代理推断了什么，以及浏览器环境被操纵成呈现了什么。

BragJack 突出的主要变化并不是浏览器扩展可能是恶意的；这一前提已由攻击要求本身确立。变化在于，AI 浏览代理为浏览器层面的操纵提供了通向后果的新路径。单个已安装扩展可以影响多个代理，演示显示的效果从数据访问到工作流滥用不等。该研究没有证明普遍攻陷，但它确实显示，扩展信任、浏览器中介和 AI 代理行动需要被放在一起评估。