Din webbläsares AI-assistent kan kapas och användas mot dig – utan att du märker något

När AI-assistenten blir en angripares verktyg

Det finns en viss ironisk skärpa i veckans säkerhetsrapport. Vi bygger AI-assistenter för att hjälpa oss – att skriva, söka, sammanfatta, agera. Men just den förmågan att agera är nu det som angripare vill komma åt.

Säkerhetsforskare rapporterar, enligt SecurityWeek, om en uppsättning sårbarheter med samlingsnamnet BragJack. Bristerna finns i de inbyggda AI-assistenterna i webbläsare som Chrome, Edge och Opera Neon. Mekanismen är elegant otäck: ett skadligt tillägg kan injicera skript eller manipulera nätverkstrafik för att skicka egna kommandon direkt till assistenten – utan att användaren ser eller hör något.

Det handlar alltså inte om att lura användaren att klicka på fel länk. Det handlar om att ta kontroll över ett system som användaren redan litar på, och låta det göra angriparens arbete. I värsta fall kan det leda till att e-post läses, skärmdumpar tas, eller att datorns kamera och mikrofon aktiveras.

Berörda leverantörer har betalat ut ersättningar till de forskare som hittade sårbarheterna – mellan 5 000 och 70 000 kronor beroende på allvarlighetsgrad. Det är gott att det finns ett fungerande system för ansvarsfull rapportering. Men det väcker också frågan: hur många liknande brister har inte hittats av välmeinande forskare?

En systemutvecklares perspektiv

Som systemutvecklare är det här ett mönster jag känner igen väl. Varje gång vi lägger till ett nytt lager av funktionalitet – ett API, ett tillägg, ett agentramverk – skapar vi nya ytor som behöver skyddas. Det är inte ett argument mot att bygga, men det är ett starkt argument för att bygga med säkerhet som ett förstaklassigt krav, inte som ett eftertanke.

AI-assistenter i webbläsare är ett utmärkt exempel på just det spänningsfältet. Ur ett produktperspektiv är det lysande: assistenten sitter precis där användaren arbetar, ser vad användaren ser, och kan agera direkt. Ur ett säkerhetsperspektiv är det en mardröm att försvara, eftersom tillägg traditionellt haft relativt bred åtkomst till webbläsarens miljö.

BragJack är inte ett bevis på att AI-assistenter är en dålig idé. Det är ett bevis på att säkerhetsmodellen för webbläsartillägg inte designades för en värld där assistenten kan agera autonomt på användarens vägnar.

Hackarna hackades – och vattenverket glömde lösenorden

Veckans rapport innehåller också en påminnelse om att den kriminella undervärlden inte är immun mot sina egna metoder. Hackergruppen ShinyHunters uppger sig ha tagit kontroll över utpressningsnätverket Cl0ps sajt på Tor-nätverket, stulit serverloggar, källkod och privata nycklar, och kräver nu en ersättning i åttasiffrig klass samt en offentlig ursäkt. Motiven ska vara hämnd för tidigare hot från Cl0p-representanter.

Det är svårt att inte le lite åt det hela – men det finns ett allvarligare underliggande faktum. Dessa grupper sitter på enorma mängder känslig data från sina offer. När de i sin tur hackas, riskerar den datan att spridas ytterligare ett led.

Samtidigt rapporterar SecurityWeek om ett separat incident där lösenord till ett vattenverks styrsystem läckt ut. Det är den typen av nyhet som sätter saker i perspektiv. Kritisk infrastruktur och svaga lösenordsrutiner är en kombination som branschen pratat om i decennier – och ändå händer det.

Attackytan växer i takt med integrationen

Det som förenar veckans händelser är ett strukturellt mönster: ju mer vi integrerar, desto fler ingångspunkter skapar vi. AI-assistenter i webbläsare. Styrsystem för vattenrening med fjärråtkomst. Utpressningsgrupper med egna servrar och nycklar.

Det är inte ett skäl att sluta bygga. Det är ett skäl att bygga smartare – med hotmodellering, minsta möjliga behörighet och kontinuerlig granskning som grundprinciper, inte som lyx.