Em 16 de setembro de 2026, Gal Weizman, da Forever Security, divulgou a pesquisa BragJack, uma prova de conceito que demonstrou como uma extensão maliciosa já instalada podia atingir cinco ambientes de navegador com IA sem novos cliques da vítima. Relatos publicados em 17 de setembro afirmaram que os cinco fornecedores haviam corrigido as falhas.
Como uma extensão alcançava o agente de IA
Uma extensão com acesso a partes do navegador pode interferir na comunicação entre o navegador e seus componentes de IA. Em alguns caminhos descritos por Weizman, a extensão usou declarativeNetRequest (DNR), uma interface que permite modificar solicitações de rede. Os métodos, porém, não foram iguais nos cinco ambientes.
Weizman chamou de “Prompt-Forcing” a técnica de enviar um prompt completo e instruções seguintes por um componente do navegador confiável para o agente. A diferença em relação à injeção de prompt é a via usada: em vez de esconder instruções no conteúdo que a IA está lendo, o atacante envia os comandos por esse componente do navegador.
Cinco ambientes, caminhos e impactos diferentes
A pesquisa examinou o Google Chrome com Gemini, o Perplexity Comet, o Microsoft Edge, o Opera Neon e o Claude in Chrome. Os efeitos relatados também variaram: no caso do Chrome, a tabela de impactos da pesquisa lista acesso a arquivos locais, capturas de tela, câmera e microfone, mas não marca sequestro do agente.
| Ambiente | Caminho descrito | Impacto demonstrado ou relatado |
| Google Chrome com Gemini | A extensão alterou uma solicitação de rede para substituir o JavaScript usado pelo componente Gemini no Chrome. | Acesso a arquivos locais, capturas de tela, câmera e microfone. |
| Perplexity Comet | O domínio de testes testing.perplexity.com podia enviar comandos ao agente; a extensão removia o redirecionamento para o site principal. | Sequestro do agente, acesso a arquivos locais, perfil e histórico do navegador, além de capturas de tela. |
| Microsoft Edge | Uma permissão de página de marketing foi combinada a uma condição de corrida entre os modos Think e Do. | Sequestro do agente e ações em sites. |
| Opera Neon | Injeção de código no domínio confiável opera.com. | Sequestro do agente; a demonstração incluiu pedidos para resumir e enviar e-mails. |
| Claude in Chrome | Uma página de marketing podia enviar prompts ao painel lateral, enquanto outra extensão executava código no domínio Claude. | Sequestro do agente e exfiltração de um resumo de e-mails na demonstração. |
Os identificadores associados às descobertas foram CVE-2026-0628 para o Chrome e CVE-2026-55945 para o Edge.
O que muda para quem usa extensões
A condição central da demonstração foi a instalação prévia de uma extensão maliciosa; não foi necessário clicar novamente para executar os passos mostrados. Vale revisar quais extensões estão instaladas e quais têm permissão para ler ou alterar dados nos sites visitados. Remova as que você não reconhece ou não usa e mantenha o navegador e as extensões atualizados.
