16 września 2026 r. Gal Weizman z Forever Security ujawnił BragJack — badanie typu proof of concept pokazujące, jak wcześniej zainstalowane złośliwe rozszerzenie mogło wykorzystać granice zaufania w pięciu środowiskach AI: Chrome z Gemini, Perplexity Comet, Microsoft Edge, Opera Neon i Claude in Chrome. W demonstracjach nie były potrzebne kolejne kliknięcia użytkownika. Późniejsze wrześniowe doniesienia mówiły o usunięciu wszystkich pięciu luk.
Jak rozszerzenie docierało do zaufanego agenta
Rozszerzenie musiało być już zainstalowane w przeglądarce. W badaniu chodziło o to, że mogło ono dostarczyć polecenia komponentowi AI, któremu przeglądarka ufała, bez kolejnej interakcji użytkownika.
Weizman nazwał tę technikę Prompt-Forcing. Zamiast ukrywać instrukcje w treści czytanej przez AI, atakujący przekazywał cały prompt i kolejne polecenia przez zaufany komponent przeglądarki. W części ścieżek wykorzystano API declarativeNetRequest, które pozwala rozszerzeniom modyfikować żądania sieciowe. Pozostałe drogi obejmowały między innymi wstrzykiwanie kodu na zaufanych domenach oraz wyścig między trybami działania agenta.
Pięć środowisk AI, różne ścieżki ataku
BragJack nie wykorzystywał jednej identycznej metody we wszystkich produktach. Różniły się zarówno droga dotarcia do komponentu AI, jak i skutki przedstawione w poszczególnych demonstracjach.
| Środowisko AI | Opisana droga ataku | Pokazane skutki |
| Google Chrome z Gemini | Rozszerzenie podmieniało zasób JavaScript używany przez komponent Gemini w przeglądarce. | Dostęp do plików lokalnych i zrzutów ekranu, a także do kamery i mikrofonu. |
| Perplexity Comet | Rozszerzenie mogło usunąć przekierowanie z domeny testowej testing.perplexity.com do głównej witryny. | Przejęcie agenta, dostęp do plików lokalnych, profilu i historii przeglądarki oraz zrzuty ekranu. |
| Microsoft Edge | Uprawnienia strony marketingowej połączono z wyścigiem między trybami „Think” i „Do”. | Przejęcie agenta i działania na stronach internetowych. |
| Opera Neon | Rozszerzenie mogło wstrzyknąć kod na zaufanej domenie opera.com. | Przejęcie agenta; demonstracja obejmowała polecenia podsumowania i wysłania e-maila. |
| Claude in Chrome | Strona marketingowa mogła wysyłać polecenia do panelu bocznego, a rozszerzenie uruchamiać kod w domenie Claude. | Przejęcie agenta i przesłanie podsumowania wiadomości e-mail. |
Ustalenie dotyczące Chrome otrzymało oznaczenie CVE-2026-0628, a dotyczące Microsoft Edge — CVE-2026-55945.
Co warto zrobić z rozszerzeniami
Przejrzyj dodatki, które mają dostęp do wszystkich odwiedzanych witryn. Zostaw takie uprawnienie tylko tam, gdzie jest potrzebne, i usuń rozszerzenia, których pochodzenia lub działania nie rozpoznajesz. Aktualizuj też przeglądarkę i zainstalowane dodatki.
