BragJack 概念攻击曝光：一个恶意扩展可劫持多款浏览器内 AI 助手

据 BleepingComputer 2026 年 9 月 19 日报道，安全研究方向出现一项名为 BragJack 的概念验证攻击。来源显示，该攻击由 Forever Security 的 Gal Weizman 提出，核心风险在于：攻击者只需借助一个恶意浏览器扩展，就可能劫持 Chrome、Edge、Opera Neon、Perplexity Comet，以及在 Chrome 中运行的 Claude 等环境里的 AI 浏览器助手。该研究涉及一种被称为 Prompt Forcing 的技术，并已获得超过 2 万美元漏洞奖励，同时关联两个 CVE。对于依赖浏览器 AI 代理处理网页、账号、支付和办公任务的跨境用户来说，这类风险值得特别关注。

BragJack 的关键风险：AI 助手不只是“聊天窗口”

传统浏览器扩展安全问题，多数集中在窃取 Cookie、读取网页内容、篡改页面或拦截表单提交。但 BragJack 指向的是更进一步的场景：当浏览器内置或接入的 AI 助手具备读取页面、总结内容、执行指令、辅助填写或调用网页功能的能力时，恶意扩展可能影响的不再只是页面本身，而是用户与 AI 代理之间的指令链路。

来源摘要提到的 Prompt Forcing，可以理解为通过特定方式迫使 AI 助手接受攻击者设计的提示或任务，从而偏离用户原本意图。由于这是一项概念验证攻击，目前公开信息并不等同于大规模真实利用，但它揭示了一个趋势：浏览器 AI 代理越接近“自动操作员”，其被扩展、网页内容或上下文污染影响的风险就越高。

对跨境账号、支付与远程办公的影响

跨境用户常常在同一浏览器中同时登录邮箱、海外社交平台、SaaS 工具、广告后台、云服务、支付账户和远程办公系统。如果 AI 助手被恶意扩展干扰，潜在影响可能覆盖多个环节。例如，AI 助手在帮助总结后台信息、整理账单、生成客服回复或辅助操作页面时，可能接触到敏感上下文；一旦提示被操控，用户可能在不知情的情况下执行错误步骤。

尤其是从账号风控角度看，海外平台通常会综合判断设备环境、登录行为、浏览器指纹、会话状态和支付动作。若恶意扩展篡改页面逻辑、诱导 AI 助手执行异常操作，可能增加账号出现异常验证、功能受限或交易失败的概率。对于团队远程办公场景，浏览器 AI 助手还可能访问公司文档、CRM、工单、项目管理系统等页面，一旦扩展权限过高，风险会从个人浏览行为扩展到组织数据安全。

用户应重点检查哪些浏览器与扩展设置

此次来源点名的环境包括 Chrome、Edge、Opera Neon、Perplexity Comet，以及 Chrome 中的 Claude。这并不意味着其他浏览器或 AI 插件绝对安全，而是说明“浏览器扩展 + AI 助手 + 页面上下文”这一组合正在成为新的攻击面。跨境用户如果需要长期保持稳定的账号和支付环境，应把扩展管理纳入日常安全维护。

• 定期检查浏览器扩展列表，移除不再使用、来源不明或权限过宽的扩展。
• 避免在登录支付、银行、广告投放、云服务后台时启用无关扩展。
• 为高价值账号使用独立浏览器配置文件，减少个人娱乐、测试工具与工作账号混用。
• 使用 AI 助手处理敏感页面前，先确认其访问范围、权限说明和数据处理方式。
• 团队环境中应统一扩展白名单，避免成员自行安装未经审核的插件。

访问环境不是唯一问题，信任边界更重要

很多跨境用户习惯把账号异常归因于网络线路、IP、地区或支付资料，但这类研究提醒我们：浏览器本地环境同样关键。即便网络访问稳定，如果浏览器里存在高权限恶意扩展，账号会话、页面内容和 AI 操作流程仍可能被干扰。VPN、代理或专线只能改善访问路径，并不能替代本地终端和扩展安全管理。

从实际操作看，建议将用于海外平台账号、跨境支付和远程办公的浏览器环境尽量“轻量化”：少装扩展、分离用途、固定设备、减少自动化工具叠加。对于 AI 浏览器助手，用户应保持审慎态度，不要让其在未确认指令来源的情况下处理付款、账号安全设置、密钥、恢复码或企业后台操作。BragJack 虽然是概念验证，但它反映出的方向很明确：AI 浏览器代理正在成为新的安全边界，跨境用户需要同时关注网络、账号、支付与浏览器扩展四个层面的稳定性。