BragJack 概念攻击曝光：恶意扩展可劫持多款浏览器 AI 助手

据 BleepingComputer 于 2026 年 9 月 19 日报道，Forever Security 研究人员 Gal Weizman 公布了一种名为 BragJack 的概念验证攻击：攻击者只需借助一个恶意浏览器扩展，就可能劫持 Chrome、Edge、Opera Neon、Perplexity Comet，以及在 Chrome 中运行的 Claude 等环境里的 AI 浏览器助手。来源显示，该攻击使用被称为 Prompt Forcing 的技术，相关发现已获得超过 20,000 美元漏洞奖励，并关联两个 CVE。对普通用户而言，这一事件再次提醒：浏览器扩展不只是“插件”，它可能成为读取页面、影响 AI 行为乃至间接触碰隐私数据的高风险入口。

BragJack 的核心风险：AI 助手被“带偏”

传统浏览器安全威胁多集中在钓鱼页面、恶意脚本、窃取 Cookie 或注入广告等方向。但随着浏览器内置或集成 AI 助手，攻击面正在变化。来源提到的 BragJack 并非依赖多个复杂组件，而是通过一个恶意扩展触发对 AI 助手的劫持。这意味着，一旦扩展获得足够权限，它可能不只是观察网页内容，还可能影响 AI 代理如何理解页面、执行任务或回应用户。

所谓 Prompt Forcing，可理解为让 AI 助手在攻击者设计的上下文中接收指令，从而偏离用户原本意图。虽然来源将其描述为概念验证攻击，但它指向的是一个现实问题：当 AI 浏览器代理具备读取网页、总结内容、协助操作的能力时，扩展权限、页面内容与 AI 指令边界之间的安全隔离就变得更关键。

为什么 VPN 用户也需要关注浏览器扩展

很多用户使用 VPN 是为了隐藏真实 IP、降低公共网络监听风险，或减少网络环境对访问行为的干扰。但 VPN 并不能自动阻止所有浏览器层面的风险。恶意扩展运行在浏览器内部，如果用户主动安装并授予权限，它可能直接接触网页内容、会话状态或用户输入。换句话说，VPN 可以保护网络传输路径的一部分，但无法替用户判断扩展是否可信。

从隐私保护角度看，AI 浏览器助手增加了便利性，也增加了数据流动路径。用户把网页、账户页面、工作资料交给 AI 总结或处理时，如果浏览器扩展能够插入恶意上下文，就可能造成敏感信息被误处理、被诱导输出，或让 AI 执行非预期操作。尤其在企业账号、云文档、邮件后台和管理控制台等场景中，风险不应被低估。

• 谨慎安装扩展，优先选择来源明确、权限较少、长期维护的工具。
• 定期检查浏览器扩展列表，删除不再使用或名称可疑的项目。
• 对需要“读取和更改所有网站数据”的扩展保持警惕。
• 使用 AI 助手处理敏感页面前，先确认当前浏览器环境是否干净。
• 公共 Wi-Fi 下可配合可信 VPN 降低网络侧暴露，例如 RedGate VPN 可作为可选方案之一。

对浏览器厂商和 AI 代理的启示

BragJack 获得漏洞奖励并关联 CVE，说明相关厂商已将这类问题视为真实安全边界的一部分。过去，浏览器扩展安全更多强调权限提示、商店审核和恶意行为检测；现在，AI 助手的加入要求平台进一步定义“谁可以影响 AI 的指令来源”“网页内容和系统指令如何隔离”“扩展能否改变 AI 看到的上下文”等问题。

对用户来说，最重要的结论并不是停止使用 AI 浏览器功能，而是要把它当作具有权限的自动化工具来管理。AI 助手越能替你完成操作，它被劫持后的影响就越大。在漏洞细节仍以来源披露为准的情况下，普通用户可以先从降低扩展数量、减少敏感页面授权、保持浏览器更新做起。

总体来看，BragJack 展示的是 AI 浏览器时代的新型安全挑战：攻击者未必需要攻破操作系统，也可能通过浏览器扩展影响 AI 代理的判断链条。对重视隐私的用户而言，网络加密、扩展治理和 AI 使用边界需要同时纳入日常安全习惯。