2SDnjc1JCzF
AI-расширения Chrome поставили под риск больше 10 млн браузеров
Исследователи Rebora Security раскрыли две критические уязвимости в AI-расширениях SiderAI и MaxAI для Chrome-совместимых браузеров. Проблемы получили названия Spyder и MaXSS. Совокупно расширения установлены более чем на 10 млн устройств, а SiderAI входит в топ-25 популярных расширений Chrome Web Store.
Обе уязвимости связаны с небезопасным взаимодействием между веб-страницей, content script и фоновым процессом расширения. Из-за недостаточной проверки входящих сообщений обычный сайт мог заставить расширение выполнять привилегированные действия в браузере пользователя. Для атаки было достаточно, чтобы жертва открыла вредоносную страницу.
В случае MaxAI исследователи показали, что атакующий мог открывать скрытые вкладки, делать скриншоты Gmail и Google Calendar, а также обращаться к аккаунтам Claude и ChatGPT, чтобы извлечь данные из AI-сессий пользователя. У SiderAI проблема позволяла встроить скрытую сессию Gemini, ввести промпт, получить ответ, нажать кнопку «поделиться» и вывести ссылку на разговор наружу.
Риск выходит за рамки отдельных AI-чатов. По оценке Rebora, такие расширения потенциально могли использоваться для чтения писем, документов, таблиц и файлов в облачных сервисах, выполнения действий от имени пользователя, кражи токенов авторизации и захвата аккаунтов. В отдельных сценариях исследователи также указывают на потенциальный риск доступа к файлам на устройстве.
Rebora сообщила о проблемах разработчикам расширений и Google, но, по данным исследователей, вендоры не ответили до публичного раскрытия. Пользователям рекомендуют удалить SiderAI и MaxAI до выхода исправлений и пересмотреть другие браузерные AI-расширения с широкими разрешениями.
похожие материалы
НИУ ВШЭ вошёл в десятку лучших мировых разработчиков онлайн-курсов
Национальный исследовательский университет «Высшая школа экономики» (НИУ ВШЭ) стал единственным российским вузом, получившим награду международной премии GMA Awards 2026.
В России сокращается ассортимент ноутбуков Apple, HP и Dell из-за новых правил сертификации
В российских магазинах сокращается ассортимент ноутбуков зарубежных брендов.
Вымогатели парализовали облако SoftBank: пострадали 495 компаний и госструктур
Крупная кибератака на японского облачного провайдера IDC Frontier, принадлежащего SoftBank, нарушила работу 495 компаний и органов власти.
В Москве пройдет конференция TECH WEEK 2026 о цифровой трансформации и искусственном интеллекте
18–19 ноября 2026 года в Москве в шестнадцатый раз пройдет конференция TECH WEEK — деловая конференция, посвященная практическому применению искусственного интеллекта и цифровых технологий в бизнесе.
«Группа Астра» и «Мастер Лаб» обеспечат полную совместимость своего ПО и помогут с цифровизацией здравоохранения
На XXVII международном конгрессе «Информационные технологии в медицине» «Группа Астра» и разработчик МИС для здравоохранения «Мастер Лаб» заключили соглашение о партнерстве в сфере ИТ.
Число критичных киберинцидентов в российском ретейле взлетело на 60%
За первое полугодие 2026 года число инцидентов высокой критичности в российском ретейле выросло на 60% по сравнению с аналогичным периодом 2025 года*.
Обновления Indeed MFA: больше сценариев аутентификации и гибкости в управлении доступом
Компания «Индид» представила ряд значимых функциональных улучшений сервиса многофакторной аутентификации Indeed MFA.
Энергия точных ориентиров: «Knomary: Целеполагание» завоевала серебро в отраслевом рейтинге ECM-Journal
Компания Knomary (входит в «Группу Астра») сообщает о том, что независимый экспертный портал ECM-Journal опубликовал масштабный обзор российских платформ управления по целям 2026 года, в котором система «Knomary: Целеполагание» заняла второе место.
TP-Link оказался под ударом сразу четырех штатов США - роутеры обвиняют в проблемах с безопасностью и связях с Китаем
Сразу четыре американских штата - Флорида, Айова, Небраска и Монтана - подали иски против TP-Link, обвинив производителя в том, что он вводил покупателей в заблуждение относительно безопасности своих роутеров и масштабов связей с Китаем.
Эксперты назвали простые привычки, которые реально защищают аккаунты и деньги от мошенников
Базовая кибергигиена по-прежнему остается одним из самых эффективных способов защиты от захвата аккаунтов и кражи денег.