BragJack 공격, 악성 확장 프로그램으로 AI 브라우저 에이전트 탈취

Forever Security의 보안 연구자 Gal Weizman이 단 하나의 악성 브라우저 확장 프로그램만으로 주요 브라우저에 내장된 AI 어시스턴트를 탈취할 수 있는 새로운 공격 기법을 공개했다.

'BragJack'으로 명명된 이 개념 증명(PoC) 공격은 Chromium 기반 브라우저 또는 브라우저 어시스턴트 5종을 대상으로 실증됐다: Google Chrome의 Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon, 그리고 Chrome용 Anthropic의 Claude.

이 연구로 연구자는 5개 벤더로부터 600달러~7,000달러에 이르는 버그 바운티를 합산해 2만 달러 이상을 받았으며, 두 건의 CVE가 발급됐다.

이 공격은 악성 확장 프로그램이 피해자의 브라우저에 이미 설치되어 있어야 한다.

설치된 후에는 사용자 상호작용 없이도 확장 프로그램이 AI 브라우저 에이전트를 제어하고, 에이전트의 기존 권한을 악용해 민감한 정보에 접근하거나 피해자를 대신해 임의 행동을 수행할 수 있다.

Google과 Microsoft는 각자 할당된 취약점을 이미 수정했다.

신뢰된 브라우저 구성 요소 악용

이 공격들은 AI 어시스턴트가 브라우저에 점점 더 깊이 통합되어 브라우저 수준의 권한을 부여받는 방식을 이용한다.

Weizman은 자신의 보고서에서 이러한 시스템이 "두뇌"와 "신체"로 구성된다고 설명한다. AI 모델이 명령을 처리하고 수행할 행동을 결정한다.

그런 다음 권한이 부여된 브라우저 컴포넌트가 탭 접근, 콘텐츠 읽기, 스크린샷 촬영, 웹사이트 조작 등 실제 행동을 수행한다.

연구자에 따르면 문제는 브라우저 확장 프로그램이 이러한 권한 있는 컴포넌트가 신뢰하는 웹 트래픽과 페이지를 조작할 수 있다는 점이다.

동일한 확장 프로그램이 5개 대상 모두에 사용됐으며, Chromium의 declarativeNetRequest(DNR) 기능에 의존했다. DNR은 확장 프로그램이 응답 헤더 변경, 리소스 리다이렉션 등 네트워크 요청 처리 방식을 수정할 수 있게 해준다.

Chrome 공격에서 Weizman은 확장 프로그램이 권한 있는 chrome://glic 컴포넌트에 직접 접근하거나 Google의 Gemini 사이트에 스크립트를 주입하는 것은 차단되어 있지만, DNR 규칙으로 내장 Gemini 웹 앱이 보내는 요청을 가로챌 수 있다는 것을 발견했다.

보안 헤더를 약화시키고 JavaScript 리소스를 리다이렉트함으로써 Gemini 컨텍스트 내에서 코드를 실행하고, Gemini의 정상 요청 흐름을 거치지 않고 Chrome의 권한 있는 AI 컴포넌트와 직접 통신할 수 있었다.

Weizman에 따르면 이를 통해 로컬 파일 읽기, 웹 콘텐츠 접근, 스크린샷 촬영은 물론 브라우저의 카메라와 마이크에도 잠재적으로 접근 가능했다. Chrome은 이 발견에 CVE-2026-0628을 할당하고 7,000달러의 바운티를 지급했다.

데이터 읽기에서 AI 에이전트 조종까지

Perplexity Comet, Opera Neon 등 에이전트형 브라우저에 대한 공격은 더 나아간다. 이들 에이전트는 웹사이트를 단순히 읽는 것을 넘어 직접 조작할 수 있기 때문이다.

Comet의 경우, Weizman은 브라우저 내장 에이전트 확장 프로그램이 perplexity.ai 주도메인과 동일한 보호를 받지 못하는 테스트 도메인을 포함한 여러 Perplexity 도메인을 신뢰한다는 것을 발견했다. DNR으로 해당 도메인으로의 리다이렉트를 제거한 뒤 로드하여 내장 에이전트와 통신할 수 있는 콘텐츠 스크립트를 주입했다.

이로써 브라우징 기록, 스크린샷, 로컬 파일 접근 및 에이전트에 명령을 전달하는 것이 가능해졌다. Weizman은 에이전트가 Perplexity를 방문해 피해자의 이메일을 요약하고 그 결과를 다른 주소로 전송하도록 강제하는 것을 실증했다.

Microsoft Edge는 다른 도전 과제를 제시했다. Microsoft는 에이전트가 임의의 명령을 받는 동시에 행동을 취하지 못하도록 에이전트를 "Think(사고)" 모드와 "Do(실행)" 모드로 분리했다.

Weizman은 프롬프트 강제 삽입 시 이 제한이 잠깐 해제되었다가 에이전트가 상태를 확인하기 전에 실행 기능이 다시 활성화되는 경쟁 조건(race condition)을 발견했다. Microsoft는 이 경쟁 조건에 CVE-2026-55945를 할당했다.

유사한 결함이 Opera Neon과 Chrome용 Claude에서도 실증됐다. 다만 후자는 브라우저 자체가 아닌 브라우저 확장 프로그램 형태다.

올해 초 필자가 Manifold Security에서 근무할 때 Chrome용 Claude의 관련 취약점을 보고한 바 있다: 해당 확장 프로그램이 실제 사용자로부터의 클릭인지 확인하지 않고 합성 클릭(synthetic click)으로 내장 AI 워크플로우를 실행했으며, 문제가 된 코드는 8번의 릴리스 이후에도 재현 가능했다.

이는 LayerX가 4월에 공개한 동일 확장 프로그램의 이전 취약점 ClaudeBleed에 이은 것으로, ClaudeBleed에서는 Chrome용 Claude가 어떤 스크립트가 실제로 이를 구동하는지 확인하지 않고 claude.ai 출처를 신뢰하는 문제가 있었다.

'프롬프트 강제 삽입(Prompt Forcing)'

Weizman은 이 에이전트 탈취 기법을 프롬프트 강제 삽입(Prompt Forcing)이라고 부른다.

AI가 이미 읽고 있는 콘텐츠에 악성 명령을 슬쩍 끼워 넣으려는 기존의 프롬프트 인젝션(prompt injection)과 달리, 프롬프트 강제 삽입은 공격자가 에이전트에게 전체 프롬프트와 후속 명령을 직접 전달할 수 있게 한다. 에이전트는 그 명령을 기존 권한을 이용한 정상적인 브라우저 행동으로 번역해 실행한다.

연구자에 따르면 이것이 엔드포인트 방어에 중요한 함의를 갖는데, 최종 행동이 기존의 악성 코드로 수행되지 않기 때문이다. 합법적인 소프트웨어가 공격을 수행하도록 지시받는 것이다.

BragJack은 브라우저와 기타 엔드포인트 앱이 더욱 강력한 AI 에이전트를 갖추게 됨에 따라 커지는 과제를 보여준다. 기존에는 웹 콘텐츠만 볼 수 있던 손상된 확장 프로그램이, 일부 설계에서는 파일을 읽고, 브라우징 데이터에 접근하고, 사용자를 대신해 웹사이트에서 행동하는 소프트웨어로 향하는 경로가 될 수 있다.

사용자는 브라우저를 최신 상태로 유지하고, 출처를 알 수 없거나 더 이상 사용하지 않는 확장 프로그램을 제거하며, '모든 웹사이트의 모든 데이터를 읽고 변경'과 같은 광범위한 권한 요청에 주의를 기울여야 한다.

Weizman은 자신의 보고서 외에도 5가지 공격 전체를 다루는 상세한 기술 분석 자료를 공개했다.