สรุปสั้น
นักวิจัยจากบริษัท Forever Security แสดงให้เห็นว่าส่วนขยายเบราว์เซอร์ (extension) ธรรมดาเพียงตัวเดียวสามารถเข้าควบคุมผู้ช่วย AI ที่ฝังมากับผลิตภัณฑ์ตระกูล Chromium ได้ถึง 5 ตัว ได้แก่ Gemini Live ใน Chrome, Perplexity Comet, Microsoft Edge, Opera Neon และส่วนขยาย Claude in Chrome เมื่อติดตั้งส่วนขยายแล้ว มันสามารถเข้าถึงผู้ช่วย AI ในตัวของแต่ละผลิตภัณฑ์ได้ด้วยการคลิกเพียงครั้งเดียว บน Comet, Edge, Opera Neon และ Claude in Chrome มันสามารถสั่งให้เอเจนต์ AI ทำงานแทนผู้โจมตีได้ ส่วนบน Chrome และ Comet ยังอ่านไฟล์จากเครื่องของผู้ใช้ได้ และบน Chrome ยังเปิดกล้องและไมโครโฟนได้ด้วย
เทคนิคนี้ถูกตั้งชื่อว่า BragJack ทั้งหมดยังเป็นเพียงการสาธิตของนักวิจัย ไม่ใช่การโจมตีที่พบในโลกจริง และทุกกรณีต้องอาศัยเงื่อนไขว่าส่วนขยายของผู้โจมตีทำงานอยู่ในเบราว์เซอร์ของเหยื่อก่อนแล้ว ในจำนวนนี้มีเพียงสองผลิตภัณฑ์ที่ได้รับรหัส CVE คือ Chrome (CVE-2026-0628 คะแนน 8.8) และ Edge (CVE-2026-55945 คะแนน 4.2) ซึ่งบริษัท Google และบริษัท Microsoft ออกแพตช์แก้ไขแล้ว ส่วน Comet, Opera Neon และ Claude in Chrome ยังไม่มี CVE โดยผู้ผลิตแต่ละรายจ่ายเงินรางวัลค้นหาบั๊ก (bug bounty) ให้ แต่ยังไม่ได้ระบุวันแก้ไขวิธีการที่นักวิจัยอธิบายไว้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 กันยายน 2569 ว่า ผลิตภัณฑ์ทั้งห้าตัวนี้ทำงานในลักษณะเดียวกัน กล่าวคือ AI มี “ร่าง” (body) อยู่ในเบราว์เซอร์ที่สามารถมองเห็นหน้าจอ เปิดไฟล์ ใช้กล้อง และลงมือทำสิ่งต่าง ๆ ได้ และมี “สมอง” (brain) ที่รันอยู่บนเซิร์ฟเวอร์ของบริษัทคอยสั่งการร่างนั้น ตามคำอธิบายของบริษัท Forever Security โดยปกติร่างจะรับคำสั่งจากหน้าเว็บที่เชื่อถือได้เพียงหน้าเดียวเท่านั้น เช่น gemini.google.com สำหรับ Chrome หรือ perplexity.ai สำหรับ Comet และส่วนขยายไม่ควรจะสั่งการร่างนั้นได้ เพราะมันแก้ไขได้แค่หน้าเว็บ ไม่ใช่ควบคุมตัวเบราว์เซอร์
วิธีการของ Forever Security คือการเข้ายึดหน้าเว็บที่เชื่อถือได้ซึ่งร่างคอยรับฟัง แล้วส่งคำสั่งของตัวเองผ่านหน้านั้นไปยังร่าง โดยส่วนขยายต้องการเพียงสิทธิ์ทั่วไปสองอย่างเท่านั้น คือสิทธิ์แก้ไขหน้าเว็บที่ตัวบล็อกโฆษณาใช้กัน และสิทธิ์ชื่อ declarativeNetRequest ที่แก้ไขทราฟฟิกเครือข่ายของเบราว์เซอร์ เมื่อรวมกันสองสิทธิ์นี้จะทำให้ส่วนขยายแทรกโค้ดของตัวเองเข้าไปในหน้าเว็บที่เชื่อถือได้ และพูดคุยกับ AI ราวกับว่าตัวมันเองคือผู้ผลิต ตารางด้านล่างสรุปสิ่งที่การโจมตีแต่ละกรณีทำได้ ตามที่ Forever Security เปิดเผย:
| ความสามารถ | Chrome | Comet | Edge | Opera Neon | Claude in Chrome |
|---|---|---|---|---|---|
| อ่านไฟล์ในเครื่อง | ได้ | ได้ | ไม่ได้ | ไม่ได้ | ไม่ได้ |
| กล้องและไมโครโฟน | ได้ | ไม่ได้ | ไม่ได้ | ไม่ได้ | ไม่ได้ |
| ควบคุมเอเจนต์ AI | ไม่ได้ | ได้ | ได้ | ได้ | ได้ |
| ดึงโปรไฟล์เบราว์เซอร์ | ได้ | ได้ | ไม่ได้ | ไม่ได้ | ไม่ได้ |
| ดึงประวัติการเข้าเว็บ | ไม่ได้ | ได้ | ไม่ได้ | ไม่ได้ | ไม่ได้ |
| จับภาพหน้าจอ | ได้ | ได้ | ไม่ได้ | ไม่ได้ | ไม่ได้ |
| ไม่ต้องคลิก | ได้ | ได้ | ได้ | ได้ | ได้ |
| CVE | CVE-2026-0628 | ไม่มี | CVE-2026-55945 | ไม่มี | ไม่มี |
| เงินรางวัล | 7,000 USD | 7,000 USD | 5,000 USD | 900 USD | 600 USD |
รายละเอียดช่องโหว่
กรณีของ Chrome ไม่ใช่เรื่องใหม่ นาย Gal Weizman นักวิจัยของ Forever Security เปิดเผยต่อสาธารณะครั้งแรกเมื่อเดือนมีนาคมในชื่อ GlicJack และบริษัท Google แก้ไขในต้นเดือนมกราคม 2569 ใน Chrome เวอร์ชัน 143.0.7499.192 ติดตามในรหัส CVE-2026-0628 ซึ่งหน่วยงานความมั่นคงไซเบอร์ของสหรัฐ (CISA) ให้คะแนน 8.8 จาก 10 เอง เพราะสถาบันมาตรฐาน NIST ยังไม่ได้ให้คะแนน ส่วนอีกสี่ผลิตภัณฑ์คือสิ่งที่นาย Weizman ทำเพิ่มในปีนี้ โดยใช้แนวคิดเดียวกันเข้าถึงผู้ช่วย AI ใน Comet, Edge, Opera Neon และ Claude in Chrome
Comet เป็นกรณีที่เลวร้ายที่สุด เพราะบริษัท Perplexity สร้าง Comet ให้เป็นเบราว์เซอร์ที่ขับเคลื่อนด้วย AI เต็มรูปแบบ เอเจนต์จึงมีอำนาจกว้างขวาง เมื่อถูกยึดแล้วสามารถอ่านไฟล์ใดก็ได้ในเครื่อง แสดงรายการเว็บที่ผู้ใช้เคยเข้า จับภาพหน้าจอ และทำงานในนามของผู้ใช้ได้ โดย Perplexity เคยบล็อกไม่ให้ส่วนขยายเข้าถึงหน้าหลัก แต่ Forever Security หันไปใช้ที่อยู่ทดสอบที่หลงเหลืออยู่คือ testing.perplexity.com ซึ่งไม่ได้ล็อกไว้เข้มเท่ากัน ส่วน Edge เป็นตัวที่เจาะยากที่สุด บริษัท Microsoft พยายามบล็อกกลไกของส่วนขยายไว้ นักวิจัยจึงต้องรวมช่องโหว่สองจุด ทั้งการเข้ายึดหน้าการตลาดของ Microsoft ที่ได้รับอนุญาตให้ส่งพรอมป์ตไปยัง AI ของ Edge และใช้ช่องโหว่จังหวะเวลา (race condition) สลับเอเจนต์ระหว่างโหมด “คิด” กับ “ลงมือ” ในจังหวะที่เหมาะสม
สำหรับ Claude in Chrome นั้น Forever Security ระบุตรง ๆ ว่าเป็นกรณีที่เบาที่สุดในงานวิจัย โดยเขียนว่า “Claude in Chrome เป็นส่วนขยายเบราว์เซอร์ ไม่ใช่ตัวเบราว์เซอร์” และเรียกว่าเป็นการที่ส่วนขยายหนึ่งไปใช้ประโยชน์จากอีกส่วนขยายหนึ่ง มากกว่าจะเป็นส่วนขยายที่เจาะตัวเบราว์เซอร์ บริษัท Anthropic จัดระดับความรุนแรงเป็นปานกลางและจ่ายเงินรางวัลให้ อนึ่ง เคยมีรายงานสาธารณะเกี่ยวกับจุดอ่อนคล้ายกันในส่วนขยายนี้มาก่อน โดยบริษัท LayerX เคยอธิบายช่องโหว่ใกล้เคียงในชื่อ ClaudeBleed เมื่อเดือนเมษายน และบริษัท Manifold Security รายงานเมื่อเดือนกรกฎาคมว่ายังมีช่องว่างคล้ายกันเปิดอยู่ในเวอร์ชันถัดมา ส่วน Opera Neon เป็นตัวที่เจาะง่ายที่สุด เพราะ AI ของมันรับคำสั่งจาก opera.com และ Opera ไม่ได้ห้ามส่วนขยายรันโค้ดบนหน้านั้น
ผลกระทบ
จุดร่วมของช่องโหว่ทั้งหมด ตามที่ Forever Security ชี้ คือการนำเอเจนต์ AI มาฝังไว้ในเบราว์เซอร์เป็นการเปิดเส้นทางที่เบราว์เซอร์พยายามปิดกั้นมาตลอด นั่นคือการเปิดให้ส่วนขยายสิทธิ์ต่ำเข้าถึงส่วนที่มีสิทธิ์สูงของเบราว์เซอร์ได้ แม้ทั้งหมดจะยังเป็นงานวิจัยและต้องอาศัยการที่ผู้ใช้ติดตั้งส่วนขยายอันตรายเสียก่อน แต่เมื่อ AI ในเบราว์เซอร์มีความสามารถอ่านไฟล์ เปิดกล้องไมโครโฟน หรือทำงานแทนผู้ใช้ได้ ผลกระทบเมื่อถูกยึดจึงรุนแรงกว่าการโจมตีส่วนขยายแบบเดิมมาก
ณ วันที่ 16 กันยายน 2569 ยังไม่มี CVE ใดในสองรายการที่ถูกบรรจุในแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (KEV) ของสหรัฐ และยังไม่มีหลักฐานสาธารณะว่ามีการนำวิธีใดในห้าวิธีไปใช้โจมตีจริง อย่างไรก็ตาม ทุกวิธีตั้งอยู่บนสมมติฐานเดียวกันคือผู้โจมตีสามารถหลอกให้ผู้ใช้ติดตั้งส่วนขยายได้แล้ว ซึ่งเป็นจุดตั้งต้นเดียวกับการโจมตีเบราว์เซอร์อีกหลายรูปแบบ
คำแนะนำ
สำหรับสองผลิตภัณฑ์ที่มี CVE ควรอัปเดต Chrome เป็นเวอร์ชัน 143.0.7499.192 หรือใหม่กว่า และอัปเดต Edge เป็นเวอร์ชัน 150.0.4078.48 หรือใหม่กว่า ส่วนผู้ใช้ Comet, Opera Neon และ Claude in Chrome ควรตรวจสอบให้แน่ใจว่าซอฟต์แวร์เป็นเวอร์ชันล่าสุดอยู่เสมอ เนื่องจากผู้ผลิตแต่ละรายจ่ายเงินรางวัลแล้วแต่ยังไม่ได้ประกาศวันแก้ไขวิธีการที่นักวิจัยอธิบายไว้อย่างชัดเจน
ที่สำคัญที่สุดคือการควบคุมส่วนขยายที่ติดตั้งในเบราว์เซอร์ ผู้ใช้ควรทบทวนรายการส่วนขยายที่มีอยู่ ถอนตัวที่ไม่จำเป็นหรือไม่รู้จักที่มาออก และระมัดระวังการติดตั้งส่วนขยายจากแหล่งที่ไม่น่าเชื่อถือ โดยเฉพาะส่วนขยายที่ขอสิทธิ์แก้ไขหน้าเว็บและแก้ไขทราฟฟิกเครือข่าย เพราะเป็นสิทธิ์คู่ที่เปิดทางให้เกิดการโจมตีลักษณะนี้ องค์กรที่ใช้เบราว์เซอร์ที่ฝัง AI ควรพิจารณากำหนดนโยบายอนุญาตเฉพาะส่วนขยายที่ผ่านการตรวจสอบ (extension allowlisting) ด้วย