ملف comet-reddit-injection-braveاختطاف الوكلاءالولايات المتحدة
Brave تُظهر أن متصفح Comet من Perplexity يمكن اختطافه بتعليق على Reddit لسرقة رموز Gmail
وجدت Brave أن نصاً مخفياً في منشور على Reddit يمكنه جعل Comet يفتح Gmail ويطلق استعادة الحساب ويرسل الرمز لمرة واحدة إلى المهاجم عندما ينقر المستخدم على زر التلخيص. ورقّعت Perplexity الثغرة؛ وقالت Brave إن الإصلاح غير مكتمل.
عاليةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 20 أغسطس 2025
- الموقع
- الولايات المتحدة
- الهدف
- متصفح الذكاء الاصطناعي Comet من Perplexity
- الخطورة
- عالية
- الجهة المنفذة
- فريق الأمن والخصوصية في Brave
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
وجدت Brave أن نصاً مخفياً في منشور على Reddit يمكنه جعل Comet يفتح Gmail ويطلق استعادة الحساب ويرسل الرمز لمرة واحدة إلى المهاجم عندما ينقر المستخدم على زر التلخيص. ورقّعت Perplexity الثغرة؛ وقالت Brave إن الإصلاح غير مكتمل.
الأثر: سرّب إثبات المفهوم عناوين بريد ورموز استعادة Gmail؛ وقالت Perplexity إن بيانات المستخدمين لم تُخترق
من نفّذها
الجهة: فريق الأمن والخصوصية في Brave
الإسناد: إفصاح مسؤول من مزوّد متصفح منافس؛ واعترضت Perplexity على درجة الخطورة
الدافع: بحث أمني
كيف حدثت
أسلوب الهجوم: حقن أوامر غير مباشر في محتوى الصفحة المغذّى إلى المساعد دون فصل تعليمات المستخدم عن النص غير الموثوق؛ وتصرف الوكيل عبر علامات تبويب مسجلة الدخول
السبب الجذري: مرّر Comet نص صفحة الويب إلى النموذج كجزء من تدفق التعليمات واستطاع التصرف بجلسات المستخدم المصادق عليها
التسلسل الزمني
- Brave تبلّغ Perplexity عن الثغرة
- Perplexity تطرح إصلاحاً أولياً
- Brave تجد أن الرقعة لا تزال قابلة للتجاوز
- Brave تنشر الإفصاح
الاستجابة
رقّعت Perplexity الحالة المبلّغ عنها وقالت إنها أُصلحت قبل أن يلاحظها أحد؛ وأصرت Brave على أن Comet ظل قابلاً للاستغلال
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- Simon Willison simonwillison.net
- Decrypt decrypt.co
- Yahoo Finance finance.yahoo.com
الاستشهاد بهذا الملف
Brave تُظهر أن متصفح Comet من Perplexity يمكن اختطافه بتعليق على Reddit لسرقة رموز Gmail. AI Threat Watch, ملف comet-reddit-injection-brave, 20 أغسطس 2025. https://aithreat.io/ar/cases/comet-reddit-injection-brave/
رابط دائم: https://aithreat.io/ar/cases/comet-reddit-injection-brave/