Am 17. September 2026 wurde gemeldet, dass die Befunde aus BragJack bei allen fünf betroffenen Anbietern behoben worden seien. Die Untersuchung hatte Gal Weizman von Forever Security am 16. September als Proof of Concept veröffentlicht: Eine bereits installierte bösartige Browser-Erweiterung konnte KI-Funktionen in fünf Browser-Umgebungen angreifen. Die Demonstrationen kamen ohne weitere Klicks aus.
Was BragJack zeigte
BragJack untersuchte Google Chrome mit Gemini, Perplexity Comet, Microsoft Edge, Opera Neon und Claude in Chrome. Die Ergebnisse waren keine fünf Kopien desselben Angriffs: Je nach Browser nutzte Weizman einen anderen Weg, und auch die demonstrierten Auswirkungen unterschieden sich.
Die Voraussetzung war eine bereits installierte schädliche Erweiterung. In den Demonstrationen waren anschließend keine weiteren Nutzerklicks nötig. Das ist ein wichtiger Unterschied: Der Angriff begann nicht allein durch den Besuch einer Webseite, sondern setzte die Erweiterung voraus.
Wie eine Erweiterung die Vertrauensgrenze überwand
Browser-Erweiterungen können mit sogenannten Content Scripts auf Webseiten einwirken. In einigen der untersuchten Wege spielte außerdem declarativeNetRequest (DNR) eine Rolle. Diese Erweiterungsfunktion kann Netzwerkanfragen verändern. BragJack nutzte solche Möglichkeiten je nach Browser unterschiedlich; bei Opera Neon und Claude in Chrome beschrieb Weizman etwa Code-Injektionen auf vertrauenswürdigen Domains, während Microsoft Edge eine Race Condition zwischen den Modi „Think“ und „Do“ betraf.
Weizman nannte den Ansatz „Prompt-Forcing“: Statt schädliche Anweisungen in Inhalte einzuschleusen, die eine KI gerade liest, gelangten vollständige Prompts über eine vom Browser als vertrauenswürdig behandelte Komponente an den Agenten.
Fünf Browser-Umgebungen, unterschiedliche Angriffswege
Die von Weizman beschriebenen Wege reichten von einer ausgetauschten JavaScript-Ressource bis zu Code-Injektionen auf vertrauenswürdigen Domains. Auch die aufgeführten Auswirkungen waren je nach Browser verschieden.
| Browser-KI-Umgebung | Beschriebener Angriffsweg | Demonstrierte Auswirkungen |
| Google Chrome mit Gemini | Eine Erweiterung ersetzte eine JavaScript-Ressource, die von der Gemini-Browserkomponente genutzt wurde. | Zugriff auf lokale Dateien und Screenshots sowie auf Kamera und Mikrofon. |
| Perplexity Comet | Über eine Test-Domain ließ sich ein Agent ansprechen; die Erweiterung konnte eine Weiterleitung zur Hauptseite entfernen. | Agentenübernahme, Zugriff auf lokale Dateien, Browserprofil und Verlauf sowie Screenshots. |
| Microsoft Edge | Eine speziell privilegierte Marketingseite konnte Prompts senden; eine Race Condition zwischen „Think“ und „Do“ ergänzte den Angriffsweg. | Übernahme des Browser-Agenten und Aktionen auf Webseiten. Der Befund ist mit CVE-2026-55945 verknüpft. |
| Opera Neon | Code wurde auf der vertrauenswürdigen Domain opera.com eingeschleust. | Übernahme des Browser-Agenten; die Demonstration umfasste das Zusammenfassen und Versenden von E-Mails. |
| Claude in Chrome | Eine Marketingseite konnte Prompts an das Seitenpanel senden; eine Erweiterung konnte außerdem Code auf einer Claude-Domain ausführen. | Übernahme des Browser-Agenten und das Ausleiten einer E-Mail-Zusammenfassung in der Demonstration. |
Der Chrome-Befund ist mit CVE-2026-0628 verknüpft. Für Microsoft Edge lautet die Kennung CVE-2026-55945. Die Auswirkungen in der Tabelle beziehen sich jeweils auf die konkrete Browser-Umgebung, nicht pauschal auf alle fünf.
Was Nutzer daraus mitnehmen können
Da BragJack eine bereits installierte bösartige Erweiterung voraussetzte, lohnt sich ein Blick auf die Erweiterungen im eigenen Browser: Prüfe, welche davon weitreichende Website-Berechtigungen haben, und entferne Erweiterungen, die du nicht mehr nutzt oder denen du nicht vertraust. Halte außerdem Browser und Erweiterungen aktuell.
