BragJack Saldırıları Popüler Tarayıcı Yapay Zeka Ajanlarını Hedef Aldı

Yapay Zeka Destekli Tarayıcılarda Kritik Güvenlik Açığı: BragJack Nedir?

Modern web tarayıcıları, kullanıcı deneyimini kökten değiştiren yapay zeka asistanları ve akıllı ajanlarla donatılmaya devam ederken, siber güvenlik dünyası bu entegrasyonların getirdiği yeni tehdit yüzeyleriyle karşı karşıya kalıyor. Forever Security bünyesinde görev yapan güvenlik araştırmacısı Gal Weizman, popüler tarayıcılarda yerleşik olarak bulunan yapay zeka asistanlarının tek bir kötü amaçlı tarayıcı eklentisi aracılığıyla nasıl ele geçirilebileceğini kanıtlayan sarsıcı bir teknik açıkladı. BragJack olarak adlandırılan bu kavram kanıtı (PoC) saldırısı; Google Chrome'un Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon ve Anthropic'in Claude in Chrome uzantısı dahil olmak üzere Chromium tabanlı beş farklı tarayıcı veya tarayıcı asistanı üzerinde başarıyla test edildi.

Söz konusu araştırma, etkilenen beş farklı yazılım vendor'ından (üreticiden) toplamda 20 bin doların üzerinde hata ödülü (bug bounty) kazandırırken, süreç içerisinde iki resmi CVE kaydının oluşturulmasına yol açtı. Saldırının en tedirgin edici yönü ise, kötü amaçlı eklentinin kurbanın tarayıcısında halihazırda kurulu olmasını gerektirmesi ancak sonrasında hiçbir kullanıcı etkileşimi olmadan çalışabilmesidir. Uzmanlar, bu yöntemle bir eklentinin yapay zeka tarayıcı ajanının mevcut imtiyazlarını kötüye kullanarak hassas verilere erişebileceğini veya kurban adına işlemler gerçekleştirebileceğini belirtiyor.

Güvenilir Tarayıcı Bileşenlerinin İstismarı ve Beyin-Beden Mimarisi

Saldırının temel mekanizması, yapay zeka asistanlarının tarayıcılara entegre edilme biçimindeki mimari zafiyetlere dayanıyor. Araştırmacı Weizman, bu modern sistemleri bir "beyin" ve bir "beden" olarak tanımlıyor. Yapay zeka modeli talimatları işleyip ne yapılması gerektiğine karar verirken, imtiyazlı bir tarayıcı bileşeni sekmelere erişmek, içerik okumak, ekran görüntüsü almak veya web siteleriyle etkileşime girmek gibi fiziksel eylemleri gerçekleştiriyor.

Ancak kilit sorun, tarayıcı eklentilerinin bu imtiyazlı bileşenlerin güvendiği web trafiğini ve sayfalarını manipüle edebilme yeteneğinde yatıyor. Araştırma boyunca tüm hedeflerde aynı eklenti kullanıldı ve Chromium'un declarativeNetRequest (DNR) işlevselliğinden yararlanıldı. DNR, eklentilerin ağ isteklerinin nasıl ele alındığını değiştirmesine, yanıt başlıklarını değiştirmesine ve kaynakları yeniden yönlendirmesine olanak tanıyor.

Google Chrome'a yönelik saldırıda Weizman, eklentilerin doğrudan imtiyazlı chrome://glic bileşenine dokunması veya Google'ın Gemini sitesine komut dosyası enjekte etmesi engellenmiş olsa bile, DNR kurallarının gömülü Gemini web uygulaması tarafından yapılan istekleri yine de kesebildiğini keşfetti. Güvenlik başlıklarını zayıflatarak ve bir JavaScript kaynağını yeniden yönlendirerek, Gemini'nin normal istek akışından geçmek yerine doğrudan Chrome'un imtiyazlı yapay zeka bileşeniyle iletişim kuran bir kod çalıştırmayı başardı. Chrome ekibi bu bulguya CVE-2026-0628 atamasında bulunurken, Google güvenlik programı kapsamında 7.000 dolar ödül ödedi.

Veri Okumadan Yapay Zeka Ajanlarını Tam Kontrol Altına Almaya

Perplexity Comet ve Opera Neon gibi ajan tabanlı tarayıcılara karşı düzenlenen saldırılar, veri okumanın ötesine geçerek ajanların web siteleri üzerinde doğrudan eylem alabilmesi nedeniyle çok daha büyük riskler barındırıyor. Comet özelinde Weizman, tarayıcının yerleşik ajan eklentisinin birincil perplexity.ai sitesiyle aynı korumalara sahip olmayan bir test etme alanı dahil olmak üzere birkaç Perplexity alanına güvendiğini tespit etti.

DNR kullanarak bu alana giden yönlendirmeyi kaldıran araştırmacı, burayı yükleyerek yerleşik ajanla konuşabilen bir içerik betiği enjekte etti. Elde edilen yetki seviyesi; tarama geçmişi, ekran görüntüleri, yerel dosyalar ve ajana talimat gönderme yeteneğini içeriyordu. Weizman, ajanı zorla Perplexity'yi ziyaret etmeye, kurbanın e-postalarını özetlemeye ve sonuçları başka bir adrese göndermeye yönlendiren bir demo gerçekleştirdi.

Microsoft Edge ise farklı bir mimari zorluk ortaya koydu. Microsoft, ajanın aynı anda hem rastgele talimatlar hem de eylemler almasını engellemek için ajanı "Think" (Düşün) ve "Do" (Yap) modlarına bölmüştü. Ancak Weizman, kısıtlamayı kısa süreliğine devre dışı bırakan, bir komut istemi zorlayan ve ajan durumunu kontrol etmeden önce eylem yeteneğini yeniden etkinleştiren bir yarış durumu (race condition) buldu. Microsoft bu güvenlik açığına CVE-2026-55945 atadı.

Benzer zafiyetler Opera Neon ve Claude in Chrome üzerinde de gösterildi. Claude in Chrome tarafında, eklentinin yerleşik yapay zeka iş süreçlerini gerçek bir kullanıcından gelip gelmediğini doğrulamadan, sentetik tıklamalar üzerinden çalıştırdığı ve bu durumun daha önceki ClaudeBleed açıklarından sonra bile devam ettiği vurgulandı.

'Prompt Forcing' Teknikleri ve Kurumsal Güvenlik İçin Alınması Gereken Önlemler

Weizman, bu ajanları ele geçirmek için kullanılan tekniği Prompt Forcing (Komut Zorlama) olarak adlandırıyor. Yapay zekanın halihazırda okuduğu içeriğe kötü amaçlı talimatlar sızdırmaya çalışan geleneksel prompt injection (komut enjeksiyonu) saldırılarından farklı olarak Prompt Forcing, saldırganın ajana bütün bir komut istemi ve takip eden talimatları doğrudan vermesine olanak tanıyor. Ajan daha sonra bu talimatları mevcut imtiyazlarını kullanarak meşru tarayıcı eylemlerine dönüştürüyor.

Bu durum uç nokta savunmaları (endpoint defenses) açısından kritik bir dönüm noktasına işaret ediyor çünkü gerçekleştirilen nihai eylem geleneksel kötü amaçlı kodlar tarafından değil, meşru yazılımların bizzat kendisine yaptırılıyor. Tarayıcıların ve diğer uç nokta uygulamalarının daha gelişmiş yapay zeka ajanlarına kavuşmasıyla birlikte BragJack gibi tehditler sektörün öncelikli gündem maddesi haline geliyor.

Uzmanlar, kullanıcıların tarayıcılarını her zaman güncel tutmaları, tanımadıkları veya artık kullanmadıkları eklentileri derhal kaldırmaları ve geniş kapsamlı "tüm web sitelerindeki tüm verilerinizi okuma ve değiştirme" izni isteyen eklentilere karşı son derece temkinli yaklaşmaları konusunda uyarıyor.