Bezpečnostní výzkum ukázal, že běžná oprávnění, jaká má většina blokátorů reklam, stačí k tomu, aby škodlivé rozšíření ovládlo AI asistenty integrované přímo do prohlížeče.

Výzkumník Gal Weizman ze společnosti Forever Security popsal, jak fungují AI agenti zabudovaní do prohlížečů typu Chrome s Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon nebo rozšíření Claude pro prohlížeč. Architektura těchto agentů má dvě části – „tělo“, které běží přímo v prohlížeči a má přístup k citlivým zdrojům, jako jsou soubory, kamera nebo data z dalších karet, a „mozek“, který běží na serverech výrobce a agentovi zasílá pokyny. Tělo je navrženo tak, aby přijímalo příkazy jen z důvěryhodných stránek, například gemini.google.com.

Weizman zjistil, že rozšíření vyžadující jen dvě běžná oprávnění – jedno pro úpravu obsahu webových stránek, které používá prakticky každý blokátor reklam, a druhé (declarativeNetRequest) pro úpravu síťového provozu – dokáže vložit škodlivý kód do důvěryhodné stránky a vydávat se před AI agentem za samotného výrobce. Agent pak přijme pokyny od útočníka stejně, jako by přišly od legitimního serveru.

Míra dopadu se lišila produkt od produktu. U Chromu a Comet mohl útočník přes takto unesený agent číst lokální soubory v počítači, u Chromu navíc získat přístup ke kameře a mikrofonu. U Comet, Edge, Opery Neon i Claude pro prohlížeč šlo agenta přímo ovládnout a nechat ho vykonávat pokyny útočníka. Chrome a Comet navíc umožňovaly únik dat z profilu prohlížeče a pořizování snímků obrazovky.