BragJack-Angriffe übernehmen KI-Browseragenten mit schädlichen Erweiterungen
Eine einzige manipulierte Browsererweiterung reicht aus, um die KI-Assistenten gängiger Chromium-Browser vollständig zu kapern. Der Sicherheitsforscher Gal Weizman von Forever Security hat unter dem Namen BragJack eine Angriffstechnik veröffentlicht, die gegen fünf verschiedene Browser und Browser-Assistenten wirkt: Google Chrome (Gemini Live), Perplexity Comet, Microsoft Edge, Opera Neon sowie Anthropics Claude in Chrome. Die Forschung brachte ihm mehr als 20.000 US-Dollar an Bug-Bounties ein und mündete in zwei CVE-Einträgen.
Wie eine Erweiterung zum Einfallstor wird
Der Angriff setzt voraus, dass die bösartige Erweiterung bereits im Browser des Opfers installiert ist. Ist dies der Fall, kann der Missbrauch ohne jede Benutzerinteraktion ablaufen. Die Erweiterung übernimmt die Kontrolle über den KI-Agenten und nutzt dessen vorhandene Berechtigungen, um auf sensible Daten zuzugreifen oder im Namen des Opfers zu handeln. Sowohl Google als auch Microsoft haben die ihnen zugewiesenen Sicherheitslücken inzwischen geschlossen.
Weizman beschreibt in seiner Analyse die Architektur der angegriffenen Systeme als Gehirn und Körper. Das KI-Modell (das Gehirn) verarbeitet Anweisungen und entscheidet, was zu tun ist. Eine privilegierte Browserkomponente (der Körper) führt diese Aktionen dann aus: Sie greift auf Tabs zu, liest Inhalte, erstellt Screenshots oder interagiert mit Websites. Das Problem liegt darin, dass Browsererweiterungen den Webverkehr und die Seiten manipulieren können, denen diese privilegierten Komponenten vertrauen.
Deklarative Netzwerkumleitung als Schlüssel
Für alle fünf Angriffe nutzte der Forscher die gleiche Erweiterung, die auf Chromiums declarativeNetRequest (DNR) setzt. DNR erlaubt Erweiterungen, Netzwerkanfragen zu verändern – etwa Antwort-Header zu schwächen oder Ressourcen umzuleiten. Beim Angriff auf Google Chrome stellte Weizman fest, dass DNR-Regeln selbst dann Abfragen der eingebetteten Gemini-Webanwendung abfangen konnten, wenn die Erweiterung nicht direkt auf die privilegierte chrome://glic-Komponente zugreifen oder Skripte in die Gemini-Seite einspritzen durfte. Durch das Abschwächen von Sicherheits-Headern und die Umleitung einer JavaScript-Ressource gelang es ihm, Code im Kontext von Gemini auszuführen und direkt mit der privileged KI-Komponente zu kommunizieren. Der Zugriff umfasste lokale Dateien, Webinhalte, Screenshots und potenziell Kamera und Mikrofon. Chrome bewertete den Fehler mit CVE-2026-0628 und zahlte 7.000 US-Dollar.
Vom Lesen zum Handeln: Agentische Browser unter Druck
Deutlich weiter gehen die Angriffe auf agentische Browser wie Perplexity Comet und Opera Neon, deren KI-Agenten nicht nur lesen, sondern auch aktiv auf Websites handeln können. Bei Comet entdeckte Weizman, dass die browserinterne Agent-Erweiterung mehreren Perplexity-Domains vertraute, darunter einer Testdomain, die nicht denselben Schutz erhielt wie die Hauptseite. Durch das Entfernen einer Weiterleitung auf diese Domain mit DNR konnte er sie laden und ein Content-Skript einschleusen, das mit dem integrierten Agenten kommunizierte. Der resultierende Zugriff umfasste Browserverlauf, Screenshots, lokale Dateien und die Fähigkeit, dem Agenten Befehle zu erteilen. Weizman demonstrierte, wie der Agent gezwungen wurde, Perplexity zu besuchen, die E-Mails des Opfers zusammenzufassen und die Ergebnisse an eine andere Adresse zu senden.
Microsoft Edge stellte eine besondere Herausforderung dar, weil das Unternehmen seinen Agenten in zwei Modi aufgeteilt hatte: Think und Do, um zu verhindern, dass er gleichzeitig beliebige Anweisungen entgegennimmt und ausführt. Weizman fand eine Race Condition, bei der die Beschränkung kurzzeitig aufgehoben wird, während ein Prompt erzwungen wird, und die Aktionsfähigkeit wieder aktiviert wird, bevor der Agent seinen Zustand überprüft. Microsoft wies dem Fehler CVE-2026-55945 zu. Ähnliche Lücken wurden gegen Opera Neon und Claude in Chrome nachgewiesen, wobei Letzteres selbst eine Browsererweiterung und kein vollwertiger Browser ist.
Prompt Forcing: Ein neues Angriffsmuster
Weizman nennt die Technik zur Übernahme dieser Agenten Prompt Forcing. Anders als bei herkömmlicher Prompt-Injection, bei der ein Angreifer bösartige Anweisungen in Inhalte einschleust, die die KI bereits liest, ermöglicht Prompt Forcing dem Angreifer, dem Agenten einen vollständigen Prompt samt Folgeanweisungen zu übergeben. Der Agent übersetzt diese Anweisungen dann mit seinen bestehenden Berechtigungen in legitime Browseraktionen. Der Forscher argumentiert, dass dies für Endpunkt-Sicherheitslösungen besonders problematisch ist: Die letztendliche Aktion wird nicht von konventionellem Schadcode ausgeführt, sondern von legitimer Software, die angewiesen wird, den Angriff durchzuführen.
Schutzmaßnahmen und Ausblick
BragJack verdeutlicht eine wachsende Herausforderung, je mehr Browser und Endpunktanwendungen mit leistungsfähigen KI-Agenten ausgestattet werden. Eine kompromittierte Erweiterung, die traditionell nur Webinhalte sehen würde, kann in bestimmten Architekturen zu einem Pfad werden, der auf Dateien, Browserdaten und im Namen des Nutzers agierende Software zugreift. Nutzer sollten ihre Browser stets auf dem neuesten Stand halten, nicht erkannte oder ungenutzte Erweiterungen entfernen und Berechtigungsanfragen mit der Formulierung „Lese und ändere all deine Daten auf allen Websites“ mit äußerster Vorsicht behandeln. Weizman hat neben seiner Analyse auch eine vollständige technische Aufschlüsselung aller fünf Angriffe veröffentlicht.
Die Angriffe zeigen, dass die Sicherheitsarchitektur moderner KI-gestützter Browser nicht nur die KI-Modelle selbst, sondern auch die Kommunikationskanäle zwischen Erweiterungen, Webinhalten und privilegierten Browserkomponenten berücksichtigen muss. Die Zahlungen von über 20.000 US-Dollar in Bug-Bounties und die Ausstellung von zwei CVEs unterstreichen die Ernsthaftigkeit der Schwachstellen – und die Dringlichkeit, mit der Browserhersteller und Unternehmen gleichermaßen auf diese neue Klasse von Angriffen reagieren müssen.