ส่วนขยายเบราว์เซอร์ตัวเดียวที่ขอสิทธิ์กว้าง ๆ อาจกลายเป็นคนสั่งงานผู้ช่วย AI ในเบราว์เซอร์แทนเจ้าของเครื่องได้ Gal Weizman นักวิจัยจากบริษัทความปลอดภัย Forever Security เผยแพร่งานวิจัยชุด BragJack เมื่อ 19 กันยายน 2026 สาธิตการยึดผู้ช่วย AI ที่ฝังมาในเบราว์เซอร์ถึง 5 ตัว ตั้งแต่ Gemini Live ใน Chrome ไปจนถึง Claude in Chrome ของ Anthropic
จุดที่ทำให้เรื่องนี้ต่างจากช่องโหว่ส่วนขยายทั่วไป คือเป้าหมายไม่ใช่ข้อมูลในหน้าเว็บ แต่เป็นตัวผู้ช่วย AI ที่มีสิทธิ์สูงกว่าหน้าเว็บธรรมดา เมื่อยึดได้ ส่วนขยายก็ได้สิทธิ์ชุดเดียวกับที่ผู้ใช้มอบให้ AI ไว้
ช่องโหว่ทำงานอย่างไร
เทคนิคหลักที่ทีมวิจัยตั้งชื่อไว้ ต่างจากการแอบแทรกข้อความหลอก AI ที่คุ้นกันมาก่อน ตรงที่ไม่ได้ซ่อนข้อความไว้ในหน้าเว็บให้ AI ไปอ่านเจอ แต่เป็นการเขียนคำสั่งทั้งก้อนแล้วส่งให้ AI เองโดยตรง แถมยังคุยต่อเป็นรอบ ๆ เพื่อสั่งงานเพิ่มได้อีก
ทางเข้าคือความสามารถสองอย่างที่ส่วนขยายบน Chromium ขอได้ตามปกติ คือการแก้ไขคำขอเครือข่ายผ่าน declarativeNetRequest เพื่อลดความเข้มของส่วนหัวความปลอดภัยอย่าง CSP และการเปลี่ยนเส้นทางไฟล์ JavaScript ไปยังโค้ดของผู้โจมตี เมื่อสองอย่างนี้มาต่อกัน โค้ดแปลกปลอมก็ไปรันอยู่ในบริบทที่ระบบถือว่าเชื่อถือได้ ซึ่งก็คือบริบทของผู้ช่วย AI นั่นเอง
| เบราว์เซอร์ | ผู้ช่วย AI | รหัสช่องโหว่ |
|---|---|---|
| Google Chrome | Gemini Live | CVE-2026-0628 (CVSS 8.8) |
| Microsoft Edge | Edge Actions | CVE-2026-55945 (CVSS 4.2) |
| Perplexity Comet | Comet Assistant | ไม่ระบุรหัส |
| Opera Neon | Neon | ไม่ระบุรหัส |
| Chrome + ส่วนขยาย Claude | Claude in Chrome | ไม่ระบุรหัส |
ทั้งห้ารายรับรายงานแบบ coordinated disclosure และจ่ายเงินรางวัลรวมกว่า 20,000 ดอลลาร์ โดยรายการที่จ่ายสูงสุดคือ Chrome และ Comet ที่ 7,000 ดอลลาร์ ส่วน Claude in Chrome จ่าย 600 ดอลลาร์ รายงานไม่ได้ระบุเลขเวอร์ชันที่แก้แล้วของแต่ละเบราว์เซอร์
ยึดได้แล้วทำอะไรได้บ้าง
ความสามารถที่ได้ไม่เท่ากันทุกเบราว์เซอร์ ขึ้นกับว่าผู้ช่วย AI ตัวนั้นถูกให้สิทธิ์อะไรไว้ แต่รวม ๆ แล้วครอบคลุมถึง
- อ่านเนื้อหาเว็บไซต์ใดก็ได้ รวมถึงไฟล์และโฟลเดอร์ในเครื่อง เช่นไฟล์ PDF
- เข้าถึงประวัติการเข้าเว็บและข้อมูลโปรไฟล์ผู้ใช้
- จับภาพหน้าจอของแท็บที่เปิดอยู่
- เริ่มบันทึกกล้องหรือไมโครโฟนโดยเจ้าของเครื่องไม่ได้กดอนุญาตในจังหวะนั้น
- สั่งให้ AI ลงมือทำแทน เช่น พิมพ์ข้อความ กดปุ่ม หรือเปิดลิงก์ที่ผู้โจมตีกำหนด
ข้อสุดท้ายคือจุดที่น่ากังวลที่สุดสำหรับผู้ช่วย AI แบบที่กดแทนผู้ใช้ได้ เพราะการกระทำจะเกิดจากเบราว์เซอร์ที่ล็อกอินบัญชีของเจ้าของเครื่องอยู่แล้ว ทีมวิจัยยังระบุว่าเครื่องมือตรวจจับมัลแวร์แบบเดิมมองพฤติกรรมชุดนี้ไม่เห็น เพราะทุกอย่างเกิดในบริบทที่ระบบนับว่าถูกต้อง
คนไทยต้องทำอะไร
ผู้ช่วย AI ที่อยู่ในรายชื่อนี้เป็นตัวที่คนไทยใช้กันจริงทั้ง Chrome, Edge และ Comet สิ่งที่ทำได้ทันทีมีสามข้อ หนึ่ง เปิดหน้าเกี่ยวกับเบราว์เซอร์แล้วกดอัปเดตให้เป็นเวอร์ชันล่าสุด เพราะการแก้ฝั่งผู้ผลิตจะมาถึงเครื่องผ่านอัปเดตปกติ สอง เข้าหน้าจัดการส่วนขยายแล้วลบตัวที่จำไม่ได้ว่าติดตั้งตอนไหนหรือไม่ได้ใช้แล้วออก และสาม เวลาติดตั้งส่วนขยายใหม่ให้อ่านกล่องขอสิทธิ์ โดยเฉพาะข้อความทำนอง "อ่านและเปลี่ยนแปลงข้อมูลของคุณบนเว็บไซต์ทั้งหมด" ซึ่งเป็นสิทธิ์ที่เปิดทางให้เทคนิคชุดนี้
ที่ผ่านมาส่วนขยายเบราว์เซอร์เป็นช่องทางโจมตีที่มาเป็นระลอกอยู่แล้ว ก่อนหน้านี้ไม่นานก็เพิ่งมีกรณีมัลแวร์ KREMLIN ที่ฝังตัวเป็นส่วนขยายใน Chrome และ Edge เพื่อขโมยรหัสบัญชีธนาคาร ต่างกันตรงที่รอบนี้เป้าหมายขยับไปที่ผู้ช่วย AI ซึ่งถือสิทธิ์มากกว่าเดิม
