El investigador de seguridad Gal Weizman, de Forever Security, ha revelado una nueva técnica de ataque que permite secuestrar los asistentes de IA integrados en navegadores populares mediante una única extensión maliciosa.
La prueba de concepto, denominada BragJack, se demostró en cinco navegadores o asistentes basados en Chromium: Gemini Live de Google Chrome, Perplexity Comet, Microsoft Edge, Opera Neon y Claude de Anthropic para Chrome.
La investigación generó más de 20.000 dólares en recompensas por la detección de errores por parte de los cinco proveedores, con importes que oscilaban entre 600 y 7.000 dólares, y produjo dos vulnerabilidades CVE.
El ataque requiere que la extensión maliciosa ya esté instalada en el navegador de la víctima.
Una vez instalada, el investigador demuestra que el ataque puede ejecutarse sin interacción del usuario, permitiendo que una extensión controle un agente de IA del navegador y abuse de sus privilegios para acceder a información confidencial o actuar en nombre de la víctima.
Google y Microsoft ya han corregido las vulnerabilidades que se les asignaron.
Además: la búsqueda de errores con IA impulsa el mayor "Martes de Parches" de la historia de Microsoft, el grupo de ransomware ShinyHunters explota un...
Leer artículo →Rank One, cuya junta directiva incluye a un exsubdirector de la CIA y a un exjefe científico del FBI, suministró tecnología de reconocimiento facial a Meta para...
Leer artículo →Hackers chinos tomaron el control del sistema de autenticación de una organización objetivo y mantuvieron el acceso durante 10 años, con visibilidad total de la...
Leer artículo →