El ataque «BragJack» puede volver la IA agentiva de un navegador en su contra

Un nuevo tipo de ata­que de prue­ba de con­cep­to lla­ma­do Brag­Jack afec­ta a cinco en­tor­nos de na­ve­ga­do­res con in­te­li­gen­cia ar­ti­fi­cial, per­mi­tien­do robar datos con­fi­den­cia­les, eje­cu­tar ac­cio­nes ma­li­cio­sas y ex­fil­trar in­for­ma­ción. La in­ves­ti­ga­ción fue rea­li­za­da por un ex­per­to en vul­ne­ra­bi­li­da­des de soft­wa­re y na­ve­ga­do­res, quien iden­ti­fi­có que el pro­ble­ma no de­pen­día de la in­yec­ción de prompts ni de eva­dir las de­fen­sas de la IA, sino de un de­fec­to de di­se­ño ar­qui­tec­tó­ni­co com­par­ti­do donde los na­ve­ga­do­res in­ter­ac­túan con las ex­ten­sio­nes, per­mi­tien­do a los ata­can­tes se­cues­trar el canal de co­mu­ni­ca­ción.

Las com­pa­ñías afec­ta­das re­co­no­cie­ron las vul­ne­ra­bi­li­da­des y otor­ga­ron pagos por el des­cu­bri­mien­to a la firma de se­gu­ri­dad, emi­tien­do iden­ti­fi­ca­do­res CVE en los casos de Goo­gle y Mi­cro­soft, y so­lu­cio­nan­do los pro­ble­mas pos­te­rior­men­te. Aun­que cada na­ve­ga­dor pre­sen­ta­ba una vul­ne­ra­bi­li­dad dis­tin­ta, la falla común con­sis­tía en per­mi­tir que una ex­ten­sión del na­ve­ga­dor cru­za­ra la fron­te­ra que debía se­pa­rar­la del agen­te de IA al­ta­men­te pri­vi­le­gia­do, ex­po­nien­do a los usua­rios que tu­vie­ran al menos una ex­ten­sión ins­ta­la­da.

En el caso es­pe­cí­fi­co de Goo­gle Chro­me con Ge­mi­ni, los in­ves­ti­ga­do­res apro­ve­cha­ron que las ex­ten­sio­nes po­dían mo­di­fi­car las so­li­ci­tu­des de red para car­gar có­di­go Ja­vaS­cript pro­pio y con­tro­lar el cuer­po del asis­ten­te, lo­gran­do tomar cap­tu­ras de pan­ta­lla, ac­ce­der a ar­chi­vos lo­ca­les y ac­ti­var la cá­ma­ra y el mi­cró­fono sin la in­ter­ven­ción del usua­rio. En Mi­cro­soft Edge con Co­pi­lot, la téc­ni­ca re­qui­rió com­bi­nar dos de­bi­li­da­des, su­peran­do una pá­gi­na de mar­ke­ting con pri­vi­le­gios es­pe­cia­les me­dian­te una con­di­ción de ca­rre­ra para lo­grar que el agen­te acep­ta­ra e im­ple­men­ta­ra ins­truc­cio­nes ma­li­cio­sas.