Mga Nakakahamak na Extension ng Browser: Paano Panatilihing Malinis ang Iyong Browser

May-akda : Katie Boquetti | Editoryal : Craig Taylor

Editoryal ni Craig Taylor:

“Ang kapangyarihan ay may tendensiyang magpasama, at ang ganap na kapangyarihan ay lubos na nagpapasama.” Isinulat iyan ni Lord Acton noong 1887 tungkol sa mga hari at papa , at ito ay lubos na lumago. Ngunit ang kanyang babala ay ipinapalagay na ang mga makapangyarihan ay may katangiang magpasama . Ang AI ay wala. Wala itong kasakiman na tuksuhin, walang ego na papurihan, at walang mabagal at walang malay na pagbagsak sa masamang paghatol. Narito ang isang na-update na bersyon ng obserbasyon ni Lord Acton para sa ating panahon ng mga ahente ng AI: “ Hindi kailangang maging masama ang AI para magdulot ng pinsala. Bigyan ito ng ganap na kapangyarihan, at kailangan lang nitong maging mali. ”

Ang pagpapakilala ng isang AI na mali ay hindi nangangailangan ng maraming taon ng tukso, o walang pigil na kapangyarihan. Teksto lang ang kailangan . Ang isang opisyal ay maaaring maging tiwali sa paglipas ng panahon, walang pigil na kapangyarihan, at mga banayad na panghihikayat; ang isang nakompromisong AI agent ay nangangailangan ng isang mahusay na pagkakasulat na talata. Ang talatang iyon ay maaaring nakatago sa isang email na hinihiling sa iyong AI na ibuod. Maaaring nakatago ito sa loob ng isang README o Markdown file na binabasa ng iyong coding assistant bago ito gumana. Maaaring ito ay isang hindi nakikitang puting-sa-puting teksto sa isang web page na tanging ang makina lamang ang makakakita. Tinatawag ito ng mga security guard na prompt injection , at gumagana ito dahil nahihirapan ang mga AI agent na malaman ang pagkakaiba sa pagitan ng iyong mga tagubilin at mga tagubilin na parang ikaw lang ang tunog.

Ngayon, palalain pa! Bigyan ang AI ng mga pahintulot na mas malawak kaysa sa hinihingi ng gawain. Patakbuhin ito sa loob ng isang built-in na browser na kulang sa maraming proteksyon na nakamit ng Chrome, Edge, Firefox at Opera sa loob ng maraming taon ng pagpapatigas. Sa puntong iyon, ang isang masamang pangungusap ay maaaring sapat na upang makompromiso ang iyong computer.

Ang paalala sa seguridad ngayong linggo ay nagmula sa isang hindi inaasahang messenger: isang bagay na ikaw mismo ang nag-install – isang browser extension.

— Craig

---

May Bagong Paglalarawan ng Trabaho ang Iyong Mga Extension ng Browser

Malaki ang maitutulong ng mga extension ng browser. Maaari nitong ayusin ang iyong gramatika, iimbak ang iyong mga kupon, at harangan ang mga nakakainis na pop-up ad o mensahe mula sa mga website. Kamakailan lamang, sinubukan at iniulat ng mga independiyenteng mananaliksik sa seguridad ang isang panganib na kinasasangkutan ng mga koneksyon sa AI desktop at mga extension ng browser. Noong Nobyembre 6, 2026, iniulat ng The Hacker News ang pananaliksik na nagpapatunay na ang isang AI assistant sa desktop ng user ay maaaring magpatakbo ng arbitrary code sa iyong computer.

Ang pananaliksik ay nagmula sa Forever Security, kasama ang mananaliksik na si Gal Weizman na nangunguna sa teknikal na gawain. Narito ang magandang balita. Wala pang nakakita na ginamit ito sa isang totoong pag-atake, at ang pag-aayos ay kasingdali ng labinlimang minutong pagsusuri at paglilinis ng browser toolbar.

Paano Gumagana ang Trick

Sinubukan ng mga mananaliksik ang Claude Dispatch, isang feature mula sa Anthropic na nagbibigay-daan sa iyong magpadala ng mga gawain mula sa iyong telepono patungo sa Claude Desktop app sa iyong computer. Pinagkakatiwalaan ng Dispatch ang anumang naka-sign in na session sa website ng claude.ai. Ang isang extension na may pahintulot na magpatakbo ng mga script sa claude.ai ay nakapagpadala ng mga tagubilin sa desktop app na parang ikaw mismo ang nagta-type ng mga ito.

Ganito ang kinalabasan ng pagsubok.

1. Isang script sa loob ng pahina ng claude.ai ang nagbukas ng Dispatch at hiniling kay Claude na mag-install ng software package.
2. Nag-alangan si Claude sa hindi pamilyar na pakete. Isang kasunod na mensahe, na nakasulat sa boses ng gumagamit, ang nag-udyok dito na magpatuloy.
3. Humingi ng pahintulot si Claude sa loob ng web page. Pinindot ng script ang "Allow" bawat segundo, kaya walang taong nakakita sa kahilingan.
4. Na-install at binuksan ng package ang Calculator app bilang isang hindi nakakapinsalang patunay.

Hindi kinailangan ng browser hack. Gumamit ang extension ng mga pahintulot na ibinigay na ng user. Gamit ang parehong access, magagawa ng isang attacker na kumopya ng mga file o magtanim ng backdoor.

May ilang bagay na kinailangang ayusin para gumana ito. Kailangan mong naka-sign in sa claude.ai at Claude Desktop, naka-on ang Dispatch, at panatilihing gising ang computer habang nakabukas ang app.

Bakit Ito Mahalaga para sa Iyong Negosyo

Ang aral ay may kahalagahan na higit pa sa isang kakayahan ng AI na ito. Sa katunayan, kinumpirma ng Anthropic ang isyung ito noong Mayo 2026 matapos itong matagpuan nang mag-isa, at ang Dispatch ay sarado na ngayon sa mga bagong gumagamit na may mga planong itigil ito. Sinasabi ng mga mananaliksik na ang isang katulad na disenyo ay lumilitaw sa iba pang mga remote AI tool, kabilang ang Claude Code Remote Control at Claude Cowork sessions. Hindi pa nila nasusubukan ang mga iyon at nagpaplano ng isang follow-up na ulat.

Ang mga AI agent na ngayon ay kumikilos para sa iyo. Magbubukas sila ng mga file, mag-i-install ng software, at kumokonekta sa iba pang mga serbisyo. Anumang bagay na makakausap ng iyong AI agent ay hihiram ng parehong mga pahintulot. Ang isang browser extension na may access sa website kung saan tumatakbo ang iyong AI assistant ay makakakuha ng access nang higit pa sa isang web page.

Ito ang pinakanararamdaman ng maliliit na koponan. Kadalasan, ang mga kawani ay nag-i-install ng mga extension nang mag-isa, at ang mga personal na account ay napupunta sa mga laptop sa trabaho. Sa katunayan, natagpuan ng mga mananaliksik ang mga personal na account na nag-uugnay sa mga computer sa bahay sa mga laptop sa trabaho sa mga opisina ng kanilang sariling mga customer.

Anim na Mabilisang Hakbang para Linisin ang Iyong Browser

Narito ang isang maikling checklist at isang paalala sa kalendaryo para mapanatiling ligtas ang iyong browser at desktop.

1. Linisin ang iyong toolbarBuksan ang pahina ng extension ng iyong browser at alisin ang anumang hindi mo nagamit noong nakaraang buwan. Ang mas kaunting extension ay katumbas ng mas kaunting panganib.
2. Suriin ang mga pahintulotMaghanap ng mga extension na humihiling na "basahin at baguhin ang lahat ng iyong data sa lahat ng website." Hindi kailangan ng isang coupon tool ang ganitong access. Magbayad ng pansin kapag ang isang update ay humihingi ng higit na access kaysa sa kinakailangan.
3. Sumang-ayon sa isang naaprubahang listahanPiliin ang mga extension na ginagamit ng iyong team para sa trabaho at idokumento ang mga ito. May kasamang built-in na mga setting ng patakaran ang Chrome, Edge, at Firefox, nang walang karagdagang bayad, para sa pagkontrol ng mga extension sa mga computer ng kumpanya.
4. Suriin ang iyong mga koneksyon sa AII-off ang mga cross-device feature na hindi mo ginagamit. Kung kailangan mo ang mga ito, alamin kung paano ipares, aprubahan, at alisin ang mga device. Ilayo ang mga personal na AI account sa mga laptop sa trabaho.
5. Panoorin ang ginagawa ng iyong mga ahente ng AIMag-ingat sa mga hindi inaasahang pag-install ng software, mga binagong setting, o mga bagong koneksyon sa labas. Kung may kakaiba, tanungin ang iyong IT contact. Ang pagtatanong nang maaga ay isang magandang gawi, hindi isang labis na reaksyon.
6. Magtakda ng paalala sa kalendaryo para sa quarterly para suriin ang mga extension: magbukas ng paulit-ulit na paalala sa kalendaryo para tingnan ang mga extension at alisin ang anumang hindi mo na ginagamit. Habang ginagawa mo ito, magsama ng pagsusuri ng mga pahintulot para sa mga extension na pinapanatili mo.

Ang Iyong Susunod na Hakbang: Isang Labinlimang Minutong Pag-aayos ng Toolbar

Maglaan ng labinlimang minuto ngayong linggo para sa paglilinis ng toolbar ng team. Pabuksan sa iyong team ang kanilang listahan ng mga extension, i-review at pagkatapos ay burahin ang mga hindi nila ginagamit, at ibahagi ang isang extension na pinakagusto nila. Idagdag ang mga keeper sa isang shared approved list. Mag-iiwan ka ng mas malinis na browser, isang bagong gawi ng team, at isang maliit na panalo sa seguridad na maaari mong ipagdiwang.

Ang positive reinforcement platform ng CyberHoot ay naghahatid ng maiikling training video at mga non-deception phishing test para matulungan ang iyong team na bumuo ng malalakas na gawi tulad nito, isang maliit na panalo sa bawat pagkakataon.

Tumawa, matuto, at Magsaya!

---

Mga Madalas Itanong

Ano ang isang extension ng browser?
Ang browser extension ay isang maliit na add-on na nagbibigay sa iyong browser ng mga karagdagang feature, tulad ng spell checking, password fill, o ad blocking capabilities. Ang mga extension ay tumatakbo sa loob ng iyong browser at makikita ang mga page na iyong binibisita.

Kailangan ko na bang ihinto ang paggamit ng mga AI assistant?
Hindi. Nakakatipid ng oras ang mga AI tool at nakakatulong sa mga tao na makagawa ng higit pa. Tratuhin ang mga ito tulad ng anumang iba pang software na may access sa iyong computer, at patayin ang mga feature na hindi mo ginagamit.

Paano ako pipili ng mga ligtas na extension?
Mag-install ng mga extension mula sa opisyal na browser store, pumili ng mga kilalang may maraming review, at suriin ang mga pahintulot bago mo i-click ang install. Alisin ang anumang extension na ang update ay humihingi ng higit pang access nang walang malinaw na dahilan.

Mayroon na bang sinuman ang inatake nang ganito?
Walang iniulat na anumang pag-atake sa totoong mundo ang mga mananaliksik. Ang kanilang pagsubok ay isang patunay ng konsepto na nilalayong matukoy nang maaga ang problema upang maayos ng mga vendor ang mga panganib na ito at magkaroon ng oras ang mga gumagamit na tumugon.

Ano ang dapat kong gawin kung gagamit ako ng Dispatch?
I-off ang cross-device Dispatch kung hindi mo ito kailangan. Kung gagamitin mo ito, suriin kung aling mga device ang nakapares at alisin ang anumang extension na may access sa claude.ai na hindi mo kailangan.

---

Pinagmumulan ng

Ang Balita ng Hacker: Maaaring Gumamit si Claude Dispatch ng mga Malisyosong Extension ng Browser

Forever Security: magsaliksik ng mga artikulo ni Gal Weizman tungkol sa mga Panganib ng Browser at AI

---

I-secure ang iyong negosyo sa CyberHoot Ngayon!