關(guān)鍵詞

漏洞

Palo Alto Networks研究人員發(fā)現(xiàn)谷歌Chrome瀏覽器漏洞（CVE-2026-0628），惡意擴(kuò)展程序可利用該漏洞控制Gemini Live AI助手，實(shí)施用戶監(jiān)控并竊取敏感文件。

報(bào)告指出：”我們在Chrome新版Gemini功能實(shí)現(xiàn)中發(fā)現(xiàn)高危安全漏洞，攻擊者可借此侵入瀏覽器環(huán)境并訪問本地操作系統(tǒng)文件。具體而言，該漏洞允許擁有基礎(chǔ)權(quán)限的惡意擴(kuò)展劫持Chrome瀏覽器面板中的Gemini Live。”

Chrome側(cè)邊欄AI助手Gemini Live用于實(shí)時(shí)內(nèi)容摘要、執(zhí)行任務(wù)及理解網(wǎng)頁上下文。作為”AI瀏覽器”核心組件，其深度集成帶來便利的同時(shí)也產(chǎn)生風(fēng)險(xiǎn)。

該漏洞于Chrome 143版本修復(fù)。擁有declarativeNetRequests權(quán)限的惡意擴(kuò)展可向Gemini面板注入JavaScript代碼，而非僅限于標(biāo)準(zhǔn)Gemini標(biāo)簽頁。由于面板是可信瀏覽器組件，劫持后可獲得超越普通擴(kuò)展的提權(quán)能力，包括訪問本地文件、截圖、攝像頭和麥克風(fēng)，無需用戶額外授權(quán)即可實(shí)施釣魚或監(jiān)控。

研究人員向谷歌演示了普通擴(kuò)展劫持Gemini面板后可執(zhí)行的操作：實(shí)施釣魚攻擊、未經(jīng)同意啟動(dòng)攝像頭和麥克風(fēng)、訪問底層操作系統(tǒng)本地文件和目錄、對HTTPS網(wǎng)站標(biāo)簽頁截圖。

基于擴(kuò)展的攻擊常被低估，但AI瀏覽器功能提升了風(fēng)險(xiǎn)等級。該漏洞于2025年10月23日負(fù)責(zé)任披露給谷歌，2026年1月初修復(fù)。報(bào)告結(jié)論稱：”盡管AI瀏覽器功能可改善用戶體驗(yàn)，持續(xù)監(jiān)控潛在安全漏洞至關(guān)重要?！?/p>

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！