Il 17 settembre 2026 è stata segnalata la correzione delle vulnerabilità BragJack in tutti e cinque gli ambienti di browser con IA coinvolti. La ricerca, resa pubblica il 16 settembre da Gal Weizman di Forever Security, aveva mostrato che un’estensione malevola già installata poteva raggiungere componenti IA privilegiati senza altri clic dell’utente. Percorsi ed effetti variavano da browser a browser.
Che cosa ha dimostrato BragJack
BragJack era una ricerca proof of concept su cinque ambienti: Google Chrome con Gemini, Perplexity Comet, Microsoft Edge, Opera Neon e Claude in Chrome. Il requisito era che l’estensione malevola fosse già installata; le dimostrazioni non richiedevano ulteriori clic della vittima.
Weizman ha chiamato Prompt-Forcing la tecnica con cui l’attaccante inviava un prompt completo e istruzioni successive attraverso un componente del browser fidato dall’assistente. È diverso dal prompt injection basato su istruzioni malevole nascoste nei contenuti che l’IA legge: in questo caso il prompt arrivava al componente che gestiva le azioni dell’agente.
Come un’estensione poteva raggiungere l’assistente
In alcuni percorsi entrava in gioco declarativeNetRequest (DNR), un’API per le estensioni Chromium che consente di modificare le richieste di rete. Non era però il meccanismo comune a tutte le dimostrazioni: il lavoro descriveva anche iniezione di codice su domini considerati attendibili e, per Microsoft Edge, una condizione di gara fra le modalità “Think” e “Do”.
Cinque ambienti, percorsi e impatti diversi
| Ambiente | Percorso descritto | Effetto dimostrato o riportato |
| Google Chrome con Gemini | Sostituzione di una risorsa JavaScript usata dal componente Gemini nel browser. | Accesso a file locali e acquisizione di schermate, fotocamera e microfono. |
| Perplexity Comet | Un’estensione poteva rimuovere il reindirizzamento che portava testing.perplexity.com al sito principale. | Controllo dell’agente, accesso a file locali, profilo e cronologia del browser, e acquisizione di schermate. |
| Microsoft Edge | Una pagina promozionale autorizzata a inviare prompt era combinata con una condizione di gara fra le modalità “Think” e “Do”. | Controllo dell’agente e azioni sui siti web. |
| Opera Neon | Iniezione di codice sul dominio attendibile opera.com. | Controllo dell’agente; la dimostrazione comprendeva richieste di riepilogo e invio di email. |
| Claude in Chrome | Una pagina promozionale poteva inviare prompt al pannello laterale; un’estensione poteva eseguire codice sul dominio di Claude. | Controllo dell’agente; la dimostrazione comprendeva l’esfiltrazione di riepiloghi email. |
Al rilievo su Chrome è associato CVE-2026-0628; quello su Edge è associato a CVE-2026-55945. La tabella delle dimostrazioni non attribuiva a Chrome il controllo dell’agente, a differenza degli altri quattro ambienti.
Che cosa possono fare gli utenti
Il requisito dell’estensione già installata rende utile controllare periodicamente quelle presenti nel browser, soprattutto se hanno permessi estesi sui siti. Rimuovi quelle che non usi e limita i permessi quando il browser lo consente; mantieni aggiornati browser ed estensioni.
