bragjack saldırısı: ai asistanlarınız tehlikede, hemen kontrol edin
arkadaşlar, Forever Security’den Gal Weizman adında bir araştırmacı ortaya çıkardı ki, Chrome, Edge, Opera Neon, Perplexity Comet ve Claude gibi popüler tarayıcılardaki AI asistanlarını ele geçirebiliyorsunuz sadece bir tane kötü niyetli eklenti ile. BragJack diyorlar buna, ve işin en korkutucu tarafı da şu: bu saldırı çok basit, çok etkili, ve şu an ortada.
nedir bu bragjack işi?
kısacası, “prompt forcing” denen teknik kullanılarak AI asistanlarının kafa karıştırılıyor. yani siz ne istiyorsanız söyleyin, bu kötü niyetli eklenti AI’nin kafasını karıştırıp bambaşka şeyler yaptırtabiliyor. CVE-2025-XXXXX ve CVE-2025-YYYYY zafiyetleri bu işin temel nedeni.
spoiler: bu saldırı o kadar etkili ki, Weizman $20,000’dan fazla bounty kazanmış ve iki tane CVE açtırmış. yani güvenlik dünyası da “abi bu ciddi” dedi.
nasıl çalışıyor bu saldırı?
- kötü niyetli eklenti kurulumu: siz farkında olmadan (ya da bilinçli olarak) tarayıcınıza bir eklenti kuruyorsunuz
- prompt injection: bu eklenti, AI asistanına gizli komutlar enjekte ediyor
- kontrol kaybı: AI asistanı, sizin istediklerinizi değil, saldırganın istediğini yapıyor
- veri sızıntısı: hassas bilgiler, API anahtarları, hatta session tokenleri ele geçirilebiliyor
etkilenen sistemler
| Sistem | Durum | Risk Seviyesi |
|---|---|---|
| Chrome AI Asistanı | ✅ Etkileniyor | 🔴 Kritik |
| Microsoft Edge Copilot | ✅ Etkileniyor | 🔴 Kritik |
| Opera Neon | ✅ Etkileniyor | 🔴 Kritik |
| Perplexity Comet | ✅ Etkileniyor | 🔴 Kritik |
| Claude in Chrome | ✅ Etkileniyor | 🔴 Kritik |
yapmanız gerekenler (acil)
1. hemen kontrol edin
tarayıcınızda hangi eklentiler kurulu, bir gözden geçirin:
# Chrome'da: chrome://extensions/
# Edge'de: edge://extensions/
# Opera'da: opera://extensions/
tanımadığınız, güvenilmez kaynaklardan kurulmuş eklentileri hemen kaldırın.
2. şüpheli eklentileri silin
- İnternetten bulduğunuz bilinmeyen eklentiler
- “AI Booster”, “Smart Assistant” gibi garip isimler
- Kaynak bilgisi olmayan eklentiler
edit: özellikle “AI productivity” kategorisindeki eklentilere dikkat edin, çünkü bu kategoride sahte olanlar çok.
3. parolalarınızı değiştirin
eğer bu eklentiler kurulu iken:
- ChatGPT, Claude, Perplexity gibi servislerde hesabınız varsa parolaları değiştirin
- API anahtarlarınızı yenileyin
- Session’larınızı logout edin
# Linux/Mac'te Chrome eklentileri kontrol etmek için:
ls ~/.config/google-chrome/Default/Extensions/
# ya da
ls ~/Library/Application\ Support/Google/Chrome/Default/Extensions/
4. sadece resmi kaynakları kullanın
eklenti kurmak istiyorsanız:
- Chrome Web Store’dan kurun
- Microsoft Edge Add-ons’dan kurun
- Opera Add-ons’dan kurun
- Yorum ve rating’e bakın, en az 4+ yıldız olsun
5. tarayıcınızı güncelleyin
acil acil güncelleyin:
- Chrome
- Edge
- Opera
- Perplexity
- Claude
çünkü vendor’lar zaten patch’leri dağıtıyor olabilir.
geçici çözümler (yamalanana kadar)
- AI asistanlarını devre dışı bırakın: tarayıcı ayarlarından AI özelliklerini kapatın
- eklenti izinlerini kısıtlayın: hangi sitelerde çalışabileceğini sınırlayın
- ayrı profil kullanın: AI asistanları için ayrı bir tarayıcı profili açın, eklenti kurma
- sandbox ortamı: hassas işler için sanal makine kullanın
neden bu kadar ciddi?
spoiler: AI asistanlarına siz güveniyor musunuz? eğer evet ise, bu asistanlar sizin yerinize karar veriyor. eğer saldırgan bunları kontrol ederse, sizin yerinize:
- Kod yazabilir (backdoor içeren)
- Dosya indirebilir
- Komut çalıştırabilir
- Hassas bilgileri toplayabilir
- Başka kişileri aldatabilir
yani kısacası, bu saldırı çok ciddi.
edit notları
- 19 Eylül 2025: BleepingComputer haber yayınladı
- $20,000+ bounty: Weizman’ın kazandığı toplam bounty
- 2 CVE: bu açıktan kaynaklanan 2 ayrı zafiyet numarası açılmış
- proof-of-concept: bu saldırı halen PoC aşamasında, ama çok etkili
son söz
arkadaşlar, dikkat edin. AI asistanları harika araçlar ama kötü niyetli eklentiler bunları silah haline dönüştürebiliyor. hemen kontrol edin eklentilerinizi, şüphelileri silin, parolalarınızı değiştirin. ve unutmayın: yedek almadan hiçbir işe girişmeyin, özellikle tarayıcı ayarlarında.
kaynaklar:
- BleepingComputer - BragJack attacks hijack AI browser agents
- Forever Security - Gal Weizman
- Chrome Security: https://chromeenterprise.google/policies/
- Edge Security: https://learn.microsoft.com/en-us/deployedge/microsoft-edge-security-overview
Bu içerik yapay zeka tarafından oluşturulmuştur.