Tek bir browser extension, 20.000 dolar ödül karşılığında beş yapay zeka tarayıcı asistanını ele geçirdi

Ne oldu

Tek bir browser extension, beş farklı yapay zeka tarayıcı asistanını — Chrome'daki Gemini, Perplexity'nin Comet'i, Edge'deki Copilot, Opera Neon ve Chrome'daki Claude — ele geçirmeyi başardı ve bu çalışma, Anthropic, Google, Microsoft ve Perplexity'den yaklaşık 20.000 dolar bug bounty ödülü kazandı. Araştırmayı ele alan bir dev.to yazısına göre asıl çarpıcı olan kısım ödül değil: extension'da kötü amaçlı bir kod yoktu ve beş ayrı hatayı da sömürmedi. Bu ürünlerin her birinin tesadüfen paylaştığı tek bir mimari zafiyeti istismar etti.

Ele geçirme nasıl çalışıyor

Modern tarayıcı asistanları otomatik tamamlama çubukları değil. Dev.to yazısının açıkladığı gibi, ekran görüntüsü alıyor, dosya okuyor, e-posta gönderiyor ve kullanıcının oturumu ile yetkileriyle hareket ediyorlar. Browser extension'lar ise sistemde alışılmadık ölçüde ayrıcalıklı bir konumda: normal sayfa kodunun dokunamadığı ağ trafiğini izleyip değiştirebiliyorlar. Bir extension, bir asistan ile bulut backend'i arasında giden isteklere müdahale edebiliyorsa ve o backend bu istekleri nereden geldiklerini kontrol etmeden kabul ediyorsa, extension fiilen kullanıcının kimlik bilgilerine sahip bir agent'ı yönlendiriyor demektir.

Yazar bunu, yeniden öğrenilen eski bir ders olarak çerçeveliyor. Ayrıcalıklı bir orta katman, daha az güvenilir bir katmandan gelen girdiye güvendiğinde sonuç bir injection noktası oluyor. Browser ve DOM ekosistemi bu fikri içselleştirmek için yaklaşık on beş yıl harcadı; tarayıcılara gömülü yeni yapay zeka agent'ları dalgası ise bu dersi çok daha yüksek risklerle tekrarlıyor, çünkü ele geçirilen katman artık e-posta gönderebiliyor ve dosya sistemine dokunabiliyor.

Tek hata, beş ürün

Bu yakınsama, dev.to yazarının asıl hikaye olarak nitelendirdiği şey. Birbirinden bağımsız geliştirilen beş asistanın aynı zayıf varsayıma — browser'ın extension katmanından gelen bir isteğin görünüşüne bakılarak güvenilir olduğu varsayımına — varması, üreticilerin "tarayıcınızda yapay zeka" özelliklerini neredeyse aynı zamanlarda, extension'lar ile otonom agent'lar karşılaştığında ne olacağına dair notlarını hiç paylaşmadan piyasaya sürdüklerini gösteriyor.

Yazı ayrıca iki yönlü abartıya karşı da uyarıyor. Üreticiler olayı sorumlu bir şekilde açıklanıp hızla yamalandığı ve sistemin amaçlandığı gibi çalıştığının kanıtı olarak sunmayı tercih ediyor. Araştırmacılar ise tek bir extension'ın beş tarayıcıyı kırdığını vurgulayıp okurlardan iyi fonlanan bir saldırganın neler yapabileceğini hayal etmelerini istemeyi tercih ediyor. Yazarın savunduğuna göre iki çerçeve de teknik olarak doğru ve tek başına eksik. Yazar ayrıca bu sınıf hatanın şansa değil tasarıma göre bulunabilir olduğunu ekliyor: Son on yılda extension güvenliğini inceleyen herkes, extension'ların başkalarının göremediği trafiği görebildiğini ve değiştirebildiğini biliyordu; yüksek güvene sahip bir agent'ı aynı yüzeye cıvatalamak, onu çok daha ilginç bir hedef haline getirdi.

Ekipler için sonuçları

Agentic tarayıcı özellikleri üzerine geliştirme yapan geliştiriciler için, bunların bir dil modelinin üstündeki ince bir arayüz olduğu varsayımı artık geçerli değil. Bunlar ayrıcalıklı yürütme yüzeyleri ve buna göre threat modellemesi yapılması gerekiyor; bir arama çubuğuna eklenmiş bir sohbet widget'ı gibi görülmemeliler.

Güvenlik ekipleri için ise extension allowlist politikaları yeni bir ağırlık taşıyor. On sekiz ay önce zararsız görünen bir eklenti — örneğin reklam engelleme veya fiyat karşılaştırması için trafiği kesen bir eklenti — artık e-posta ve dosyalara erişimi olan bir agent'ın yanında çalışıyor. Bu güven sınırındaki değişimden önce yazılmış kurumsal politikaların büyük olasılıkla güncelliğini yitirdi.

Yazar ayrıca bu biçimde daha fazla bulgu öngörüyor: kötü amaçlı yazılım gerektirmeyen, kullanıcı tıklaması bile gerektirmeyen, yalnızca kendisini doğrulamayı başaramayan hangi katmana yeterince meşru görünüyorsa onu hedef alan isteklere dayanan saldırılar.

Neden önemli

Bu, tekil bir olaydan ziyade bir güvenlik açığı sınıfı ve Chrome, Edge, Opera ile özel asistan tarayıcılarında eşzamanlı olarak ortaya çıktı. Tarayıcılara agent yerleştirme yarışının, kimsenin hesaba katmadığı ortak bir kör nokta ürettiğini gösteriyor: extension katmanı ile asistan backend'leri arasında hareket eden istekler, kaynak doğrulaması yapılmadan güvenilirdi. Yazının okurlara bıraktığı açık soru şu: Üretici başına yamalar yeterli bir yanıt mı, yoksa sektörün browser extension'ların ve agentic yapay zeka özelliklerinin nasıl etkileşime girebileceğini baştan düzenleyen ortak bir standarta ihtiyacı mı var.