Le 17 septembre 2026, des comptes rendus ont indiqué que les cinq fournisseurs concernés avaient corrigé les vulnérabilités BragJack. La veille, Gal Weizman, chercheur chez Forever Security, avait dévoilé une preuve de concept montrant comment une extension malveillante déjà installée pouvait atteindre cinq environnements d’IA de navigateur sans clic supplémentaire. Les méthodes et les effets variaient d’un produit à l’autre.
Comment BragJack franchissait la frontière de confiance
Une extension malveillante devait être installée au préalable : les démonstrations ne commençaient donc pas sans action de l’utilisateur. En revanche, elles ne demandaient aucun clic supplémentaire une fois l’extension présente.
Le principe consistait à faire parvenir des instructions à un composant d’IA du navigateur par une voie considérée comme fiable. Gal Weizman a nommé cette technique « Prompt-Forcing » : au lieu de cacher des consignes dans le contenu lu par l’IA, elle transmettait un prompt complet, puis des instructions de suivi, par l’intermédiaire d’un composant du navigateur.
L’API declarativeNetRequest (DNR) de Chromium, qui permet à certaines extensions de modifier des requêtes réseau, intervenait dans certains des chemins décrits. Les démonstrations reposaient aussi sur d’autres mécanismes, notamment l’injection de code sur un domaine de confiance et une course entre deux modes de Microsoft Edge.
Cinq environnements, des chemins et des effets différents
La preuve de concept concernait Google Chrome avec Gemini, Perplexity Comet, Microsoft Edge, Opera Neon et Claude in Chrome. Voici ce qui a été décrit pour chacun :
| Environnement | Chemin décrit | Effet démontré ou rapporté |
| Google Chrome avec Gemini | Remplacement du JavaScript chargé par le composant Gemini après modification d’une requête réseau. | Accès aux fichiers locaux et aux captures d’écran, ainsi qu’à la caméra et au micro. |
| Perplexity Comet | Utilisation du domaine de test testing.perplexity.com et retrait de la redirection vers le site principal. | Détournement de l’agent, accès aux fichiers locaux, au profil et à l’historique, et captures d’écran. |
| Microsoft Edge | Autorisation d’une page marketing à envoyer des instructions, combinée à une course entre les modes « Think » et « Do ». | Détournement de l’agent et actions sur des sites web. |
| Opera Neon | Injection de code sur le domaine opera.com. | Détournement de l’agent; la démonstration enchaînait le résumé et l’envoi d’un courriel. |
| Claude in Chrome | Envoi d’instructions au panneau latéral depuis une page marketing, avec injection de code sur un domaine de Claude. | Détournement de l’agent et extraction d’un résumé de courriels dans la démonstration. |
Le cas de Chrome avec Gemini portait sur l’accès à des ressources et périphériques; les autres environnements de la liste ont été associés au détournement de l’agent. Les résultats d’un navigateur ne doivent donc pas être attribués indistinctement aux quatre autres.
Ce que les utilisateurs peuvent vérifier
BragJack reposait sur la présence préalable d’une extension malveillante. Vérifiez régulièrement quelles extensions peuvent accéder aux sites que vous consultez, et supprimez celles dont vous n’avez plus besoin. Gardez également le navigateur et ses extensions à jour.
