2026年9月16日，安全研究员 Gal Weizman（Forever Security）公布代号 BragJack 的研究：一个仅申请常见权限的浏览器扩展，即可在无需用户任何交互的情况下控制五款主流浏览器内置的 AI 智能体，具备读取本地文件、截取屏幕、开启摄像头以及冒充用户访问邮箱与账号的能力。受影响产品包括 Chrome 的 Gemini Live、Edge 的 Copilot、Opera Neon、Perplexity Comet 与 Chrome 上的 Claude 扩展。本文从AI治理与安全视角解读。
“提示强制”与提示注入有何不同
过去两年，安全社区主要关注提示注入：把恶意指令藏进智能体正在阅读的网页、文档或邮件里，寄望模型把它当作命令。BragJack 使用的是研究者称为“提示强制”（prompt forcing）的手法，它绕过对提示注入的常见防护，并结合浏览器扩展本身的权限，把攻击从“影响输出”推进到“直接控制系统行为”，风险等级明显更高。
受影响面与修补状态
研究覆盖五款产品：Google 与 Microsoft 已修补各自被分配的漏洞，对应 CVE-2026-0628（Chrome）与 CVE-2026-55945（Edge）；其余三款产品在研究成果公开发布时的修补状态尚未确认。该研究共在五家厂商处获得超过2万美元的漏洞赏金。这一案例说明，AI安全风险往往不在模型本身，而在智能体与宿主环境之间的权限边界。
对AI安全治理的启示
对把 AI 智能体嵌入浏览器、IDE 或办公套件的团队，建议把扩展与插件的权限模型纳入供应链安全评估：明确智能体可以读写的资源范围、是否需要显式授权才能访问本地文件与摄像头，并为高风险动作设计人工确认。同时应建立代码安全与运行时审计机制，让越权行为可被发现与追溯。AI安全治理的关键，是把“能力”与“权限”分开授予。
小结
BragJack 研究显示，一个常见权限的浏览器扩展即可在五款浏览器中劫持内置 AI 智能体，Chrome 与 Edge 已完成修补，是2026年9月AI治理与安全领域值得重视的案例。