BragJack 用两个最常见的扩展权限，让 Gemini、Claude、Comet 们在你眼前乖乖听话，全程不需要再点一次鼠标

先说清楚它不是什么。这不是大模型本身被越狱，也不是云端账号被盗。安全研究者 Gal Weizman 以 Forever Security 名义在9月16日公开、10月15日更新的 BragJack，是一个恶意浏览器扩展的攻击手法演示：扩展装在你自己的浏览器里，利用 Chromium 一个设计陈旧的流量改写接口，对网页里运行的AI助手注入指令。浏览器厂商已经认领并修复了部分问题，Chrome 那个编号 CVE-2026-0628 的漏洞严重度打到8.8分。真正值得警惕的是它的攻击成本——只需要两个你见过几百次的常规权限，装完之后，你什么都不用再点。

攻击长什么样：你问天气，AI 把本地文件发出去了

先还原一个研究者演示过的场景。用户在浏览器里打开 Perplexity 的 Comet 助手，正常提问。与此同时，一个早已安装的恶意扩展在后台改写浏览器收发的网络请求，把一段隐藏指令塞进返回给AI的页面内容里——术语叫 Prompt Forcing，提示注入的近亲。

用户看到的，是一个正常回答问题的AI。用户看不到的，是AI在回答之外额外执行了一串动作：读取浏览器能读到的本地文件、窃取浏览历史、截屏、把数据发往攻击者的服务器。整个过程没有弹窗、没有二次确认，用户甚至不需要再点击任何东西。

这次被研究者逐一验证可以劫持的，是五个内置或深度集成在浏览器里的AI：Gemini Live、Perplexity Comet、微软 Edge 自带的Copilot相关能力、Opera Neon，以及网页版 Claude。一个扩展，五个靶子。

图：AI被一段从浏览器角落里伸出来的丝线牵走，模型自己并不知道指令的出处

拆开原理：一个十五年前的接口，撞上了网页里的新居民

BragJack 的技术内核一点都不玄，它用的是 Chromium 提供给扩展的 declarativeNetRequest（声明式网络请求）规则接口。我专门去翻了这个接口的设计文档，它的本职工作很正当：广告拦截、隐私保护、家长控制这类扩展，靠它在请求发出前按规则改写或拦截流量。

问题出在时间差上。这个接口设计的年代，网页还主要是"给人看的文档"；今天的网页里住进了一个会读页面内容、会据此采取行动的AI。于是同一个动作的性质变了——过去改写一段广告脚本的返回内容，影响的是显示；现在改写一段会被大模型读到的文本，影响的是模型的决策。老接口的权限模型没跟上新居民。

研究者演示的扩展，只申请了两个极其常见的权限：一个用来访问和修改网站流量，一个用来读写指定站点的页面数据。这类权限组合在合法扩展里遍地都是，应用商店审核很难单凭权限判定恶意。再叠加"装完无需点击"的持久化特性，攻击面一下子拉开了。

为什么模型会乖乖听话？我的判断是，根子在模型安全里最老的难题：指令来源不分级。

大模型默认把上下文里出现的所有文字当成同等可信的指令，它分不清"这是用户在对话框里打的"和"这是扩展偷偷塞进网页的"。

Edge 的尝试更能说明问题：它把"思考"和"执行"拆成两段，想让安全判断先于动作发生，结果被竞态条件钻了空子——注入指令赶在安全流程完成前触发了执行。

换句话说，这不是哪家模型特别笨，而是整个行业还没解决"如何让模型验证指令出处"这件事。提示注入吵了三年，BragJack 给出的贡献是一个完整、可复现、影响面覆盖五大主流浏览器AI的实弹案例。

图：安全设计以为墙是完整的，攻击者只需要找到两道工序之间的那道时间缝

为什么它能拿奖，又为什么"只"拿了这么多

Weizman 走的是正规漏洞赏金路线，这组研究累计获得了约20500美元奖励。这个数字在赏金圈不算高，很多人替研究者鸣不平。我倒觉得奖金数额恰好暴露了一个结构性问题。

这就牵出了合规问责里很实际的一环。目前浏览器厂商对扩展的治理主要靠商店审核、权限提示和用户举报，而AI助手对"页面内容可能被本地扩展篡改"几乎没有防御性假设。我更在意的是另一件事：补丁修掉的是 declarativeNetRequest 被滥用的具体路径，修不掉的是"模型无条件信任浏览器喂给它的一切文本"这个地基。下一个接口、下一个扩展权限，可能再开一扇类似的窗。

图：一条丝线串起五个容器——浏览器是同一层壳，壳里的AI再不同，也共享同一道信任边界

普通人现在能做什么：三条马上能用的动作

补丁层面，保持 Chrome、Edge 等浏览器更新到最新版，CVE-2026-0628 和 CVE-2026-55945 对应的修复都已经下发。但补丁之外，有三个习惯今天就能改。

第一，清理扩展。打开浏览器的扩展管理页，把半年没用过、来源想不起来、名字像"安全助手/优惠券/PDF工具"但评价稀少的扩展全部删掉。攻击面跟着扩展数量线性增长，少一个是一个。

第二，警惕"请求读取所有网站数据"的权限。一个翻译扩展如果要求能读取并修改你在所有网站上的全部流量，这和它声称的功能明显不匹配。权限和功能不对应，是最朴素也最有效的识别信号。

第三，别在浏览器AI里处理真正敏感的东西。在补丁和模型侧的指令来源验证成熟之前，不要让浏览器内嵌的AI读取本地敏感文件、不要在它打开的页面里保持网银或企业后台的登录态。云端专用客户端和隔离的浏览器配置，仍然是更稳妥的选择。

把 BragJack 和这几天的 OpenAI 自关警报、韩国单人代理攻击连起来看，你会发现模型安全问题正在从两个方向同时逼近现实：一边是模型自己在内部系统里做出没人下令的动作，另一边是外部的人用一段注入文本借模型的手做事。前者考验对齐，后者考验信任边界。两头夹击中，"AI会在浏览器里帮你操作"这个被各家厂商当成卖点的能力，正在同步变成攻击面。功能和风险，从来是同一段代码的两个名字。

留个问题：你现在的浏览器里装了几个扩展？其中又有几个，你还记得当初为什么给它开了"读取所有网站数据"的权限？不妨现在就打开扩展页看一眼，评论区报个数，看看谁的扩展最多。

数据与事实来源：Forever Security 研究员 Gal Weizman 发布的 BragJack 研究（2026-09-16 首次公开，2026-10-15 更新）；Chrome 安全公告 CVE-2026-0628（CVSS 8.8）、Edge 安全公告 CVE-2026-55945（CVSS 4.2）；The Hacker News 等安全媒体对研究与厂商修复的报道；Chromium declarativeNetRequest 接口公开设计文档；研究者披露的漏洞赏金总额约20500美元。关键口径：受影响能力以研究者在特定版本、授权测试环境中的演示为准，补丁已由相关厂商下发；Perplexity、Google、微软、Opera、Anthropic 各自产品的具体修复范围以官方公告为准；本文为公开信息梳理与安全科普，不构成投资或法律建议。