Latere berichtgeving meldde dat de kwetsbaarheden uit het BragJack-onderzoek in alle vijf onderzochte browser-AI-omgevingen waren verholpen. Gal Weizman van Forever Security maakte het proof-of-conceptonderzoek op 16 september 2026 openbaar: een al geïnstalleerde kwaadaardige extensie kon de AI-omgeving bereiken zonder dat het slachtoffer daarna nog hoefde te klikken. De demonstraties betroffen Chrome met Gemini, Perplexity Comet, Microsoft Edge, Opera Neon en Claude in Chrome; de aanvalsroutes en effecten verschilden per omgeving.
Hoe kon een extensie de AI-browser bereiken?
Browserextensies kunnen toegang krijgen tot webpagina’s en netwerkverkeer beïnvloeden. Bij BragJack draaide het om een vertrouwensgrens: een browseronderdeel dat de AI-assistent vertrouwde, kon via de extensie worden misbruikt om opdrachten aan die assistent door te geven.
Weizman noemde deze aanpak Prompt-Forcing. Daarbij geeft de aanvaller een complete prompt en vervolgopdrachten door via een browseronderdeel dat de agent vertrouwt. Dat verschilt van promptinjectie, waarbij verborgen instructies staan in inhoud die de AI leest.
Een van de gebruikte extensiemogelijkheden was de declarativeNetRequest-API (DNR), waarmee een extensie bepaalde netwerkverzoeken kan aanpassen. Die techniek speelde een rol bij sommige routes, maar niet alle vijf demonstraties volgden dezelfde methode. In Opera Neon en Claude in Chrome beschreef het onderzoek code-injectie op een vertrouwd domein; bij Microsoft Edge ging het om een raceconditie tussen de modi Think en Do.
Vijf omgevingen, vijf routes en verschillende effecten
De gerapporteerde effecten liepen uiteen: de Chrome-demonstratie omvatte toegang tot lokale bestanden, screenshots, camera en microfoon, terwijl de andere omgevingen andere toegang of opdrachten lieten zien.
| Browser-AI-omgeving | Gerapporteerde route | Getoonde impact |
| Google Chrome met Gemini | Een extensie verving een JavaScript-bron die Gemini gebruikte. | De demonstratie omvatte toegang tot lokale bestanden, screenshots, camera en microfoon. |
| Perplexity Comet | Een bereikbaar testdomein kon agentopdrachten uitvoeren; de extensie kon de omleiding naar de hoofdpagina verwijderen. | De agent overnemen, lokale bestanden, browserprofiel en geschiedenis uitlezen en screenshots maken. |
| Microsoft Edge | Een pagina met speciale rechten kon prompts versturen; een raceconditie tussen Think en Do maakte de route mogelijk. | De browseragent overnemen en acties op websites uitvoeren. |
| Opera Neon | De extensie kon code uitvoeren op het vertrouwde domein opera.com. | De browseragent aansturen met opdrachten om e-mail samen te vatten en te versturen. |
| Claude in Chrome | Een marketingpagina kon prompts naar het zijpaneel sturen; een extensie kon code uitvoeren op het domein van Claude. | De browseragent overnemen; de demonstratie omvatte het uitlezen en naar buiten sturen van een e-mailsamenvatting. |
Waar moeten browsergebruikers op letten?
De demonstraties vereisten dat een kwaadaardige extensie al op het apparaat stond. Controleer daarom welke extensies brede toegang tot websites hebben en verwijder extensies die je niet meer gebruikt. Dat is de concrete ingang die in deze BragJack-demonstraties werd benut.
