전 팔로알토 유닛42 연구자 갈 와이즈만이 포에버 시큐리티(Forever Security) 블로그에 올린 BragJack 연구는, 확장 프로그램의 declarativeNetRequest 권한으로 CSP 같은 보안 헤더를 지우고 스크립트를 바꿔치기해 각 브라우저가 자기 도메인(gemini.google.com, perplexity.ai 테스트 서브도메인, opera.com, claude.ai 마케팅 페이지, microsoft.com/edge)만 믿고 열어 둔 에이전트 명령 통로에 올라타는 방식이에요. 크롬과 코멧에서는 로컬 파일 읽기와 화면 캡처, 크롬에서는 카메라·마이크까지 켤 수 있었고, 웹사이트만으로는 안 되고 악성 확장을 설치시켜야 하며 엣지·클로드 인 크롬 건은 debugger 권한까지 필요했어요. 크롬 건은 CVE-2026-0628(8.8)로 1월 143.0.7499.192 에서 고쳐져 3월에 GlicJack 으로 이미 공개된 내용이고, 엣지는 CVE-2026-55945(4.2)로 7월 3일 150.0.4078.48 에서 고쳐졌으며, 코멧·오페라 네온·클로드 인 크롬은 CVE 도 수정 시점도 공개되지 않았고 보상금은 구글·퍼플렉시티 각 7,000달러, 마이크로소프트 5,000달러, 오페라 900달러, 앤트로픽 600달러(중간 등급)로 합계 20,500달러였어요.
- declarativeNetRequest
- 확장 프로그램이 브라우저의 네트워크 요청·응답을 규칙으로 차단·수정·헤더 삭제할 수 있게 하는 크롬 확장 API. 광고 차단기가 주로 씀
- CSP
- Content Security Policy. 페이지가 어떤 출처의 스크립트·프레임을 허용할지 정하는 보안 헤더
- CVE
- 공개된 보안 취약점에 붙는 국제 표준 식별 번호
- debugger 권한
- 확장 프로그램이 크롬 개발자 도구 프로토콜로 탭을 조작할 수 있게 하는 권한. 사용자 클릭을 흉내 낼 수 있음
- PoC
- Proof of Concept. 공격이 실제로 가능함을 보이려고 만든 시연용 코드
브라우저 에이전트 통합을 만들거나 쓰는 쪽 모두에게 교훈은 '우리 도메인이니 믿는다'는 설계가 확장 프로그램 앞에서는 성립하지 않는다는 점이에요. 에이전트에 명령을 넣는 통로는 단일 오리진으로 좁히고 서브도메인까지 같은 CSP 를 걸며 합성 클릭을 조작 신호로 받지 않게 하고, 사내에서는 declarativeNetRequest 와 debugger 권한을 함께 요구하는 확장을 관리 정책으로 걸러 두는 게 지금 할 수 있는 대응이에요. 크롬 143.0.7499.192, 엣지 150.0.4078.48 미만이면 먼저 올리세요.
- 연구 원문 제품 다섯 개 모두 같은 뿌리를 공유하는데, 에이전트가 특정 도메인의 페이지를 믿고 명령을 받는 구조를 확장 프로그램이 그 도메인에 코드를 심어 악용했어요. Forever Security
- 기술 상세 PoC 확장이 쓴 권한은 declarativeNetRequest, 모든 호스트 권한, 그리고 엣지·클로드 인 크롬 건에서는 사용자 클릭을 흉내 내는 debugger 권한이었고, 웹사이트만으로는 불가능했어요. Forever Security
- 교차 보도·수정 시점 크롬은 1월 143.0.7499.192, 엣지는 7월 3일 150.0.4078.48 에서 고쳐졌고 나머지 세 제품은 수정 시점이 공개되지 않았어요. The Hacker News
- 선행 연구 크롬 부분은 연구자가 유닛42 재직 중이던 2025년 11월 23일에 신고해 3월에 GlicJack 으로 먼저 공개한 것이라, 이번에 새로운 부분은 나머지 네 제품이에요. Palo Alto Networks Unit 42