Una nueva técnica de ataque acaba de poner en jaque la seguridad de los asistentes de inteligencia artificial integrados en los navegadores más populares. El investigador de seguridad Gal Weizman, de Forever Security, ha revelado un método, bautizado como BragJack, que permite a una única extensión maliciosa secuestrar el control de asistentes como Gemini Live, Perplexity Comet, Claude para Chrome, el asistente de Microsoft Edge y Opera Neon. La demostración, realizada sobre cinco navegadores basados en Chromium, ha generado más de 20.000 dólares en recompensas por errores (bug bounties) y ha dado lugar a dos vulnerabilidades catalogadas con CVE. El hallazgo expone una fragilidad estructural en la forma en que los navegadores otorgan privilegios a sus componentes de IA y subraya un desafío creciente para la seguridad de los endpoints.
¿Qué es BragJack y cómo logra secuestrar a los asistentes de IA?
BragJack es un ataque de prueba de concepto que demuestra cómo una extensión maliciosa, una vez instalada en el navegador de la víctima, puede tomar el control de los asistentes de IA integrados sin necesidad de interacción del usuario. La técnica no requiere engañar al usuario para que interactúe con el asistente; la propia extensión, aprovechando mecanismos legítimos del navegador, orquesta el secuestro de forma silenciosa. El investigador identificó que los asistentes de IA en los navegadores están compuestos por dos partes: un «cerebro» —el modelo de IA que procesa instrucciones— y un «cuerpo» —un componente privilegiado del navegador que ejecuta acciones como acceder a pestañas, leer contenido, tomar capturas de pantalla o interactuar con sitios web—. El problema es que las extensiones pueden manipular el tráfico web y las páginas que esos componentes privilegiados consideran de confianza.
La misma extensión se utilizó contra los cinco objetivos, apoyándose en la funcionalidad declarativeNetRequestcodecodecodecode (DNR) de Chromium. DNR permite a las extensiones modificar la forma en que se gestionan las solicitudes de red, incluyendo cambiar cabeceras de respuesta y redirigir recursos. Aunque las extensiones tienen bloqueado el acceso directo a componentes privilegiados como chrome://gliccodecodecodecode o la inyección de scripts en sitios de Google como el de Gemini, las reglas DNR sí pueden interceptar las solicitudes que realiza la aplicación web de Gemini incrustada en el navegador. Debilitando las cabeceras de seguridad y redirigiendo un recurso JavaScript, el investigador logró ejecutar código dentro del contexto de Gemini, comunicándose directamente con el componente de IA privilegiado de Chrome, saltándose el flujo normal de solicitudes. El resultado: acceso para leer archivos locales, alcanzar contenido web, tomar capturas de pantalla y potencialmente acceder a la cámara y el micrófono del navegador. Google asignó a esta vulnerabilidad el identificador CVE-2026-0628 y pagó una recompensa de 7.000 dólares.
De la lectura de datos al control total: los ataques a navegadores agentivos
Los ataques contra navegadores agentivos como Perplexity Comet y Opera Neon van un paso más allá, porque sus agentes no solo leen información, sino que pueden actuar en sitios web. En el caso de Comet, Weizman descubrió que la extensión de agente integrada en el navegador confiaba en varios dominios de Perplexity, incluido un dominio de pruebas que no recibía las mismas protecciones que el sitio principal perplexity.aicodecodecodecode. Eliminando una redirección a ese dominio mediante DNR, el investigador logró cargarlo e inyectar un script de contenido capaz de comunicarse con el agente integrado. El acceso resultante incluía historial de navegación, capturas de pantalla, archivos locales y la capacidad de enviar instrucciones al agente. Weizman demostró cómo forzar al agente a visitar Perplexity, resumir los correos electrónicos de la víctima y enviar los resultados a otra dirección.
Microsoft Edge presentó un desafío diferente. La compañía había dividido su agente en dos modos: «Think» (pensar) y «Do» (hacer), para evitar que tomara instrucciones y acciones arbitrarias al mismo tiempo. Weizman encontró una condición de carrera (race condition) que, brevemente, deshabilita la restricción mientras fuerza una instrucción, y luego reactiva la capacidad de acción antes de que el agente compruebe su estado. Microsoft asignó a esta vulnerabilidad el identificador CVE-2026-55945. Se demostraron fallos similares contra Opera Neon y Claude en Chrome, aunque este último es en sí mismo una extensión del navegador y no un componente integrado a nivel de navegador.
A principios de este año, investigadores de Manifold Security reportaron una debilidad relacionada en Claude para Chrome: la extensión ejecutaba sus flujos de trabajo de IA integrados en clics sintéticos sin verificar que provinieran de un usuario real. El código señalado seguía siendo reproducible ocho versiones después. Este hallazgo siguió a ClaudeBleed, una vulnerabilidad anterior en la misma extensión que LayerX reveló en abril, en la que Claude para Chrome confiaba en el origen de claude.aicodecodecodecode en lugar de comprobar qué script lo estaba utilizando realmente.
Prompt Forcing: la técnica que entrega el control total al atacante
Weizman denomina la técnica utilizada para tomar el control de estos agentes como Prompt Forcing. A diferencia de la inyección de instrucciones convencional (prompt injection), donde un atacante intenta deslizar instrucciones maliciosas dentro del contenido que la IA ya está leyendo, Prompt Forcing permite al atacante entregar al agente una instrucción completa y las órdenes de seguimiento. El agente traduce entonces esas instrucciones en acciones legítimas del navegador, utilizando sus privilegios existentes. Esto tiene implicaciones profundas para las defensas en los endpoints, porque la acción final no la ejecuta un código malicioso convencional: es el propio software legítimo, manipulado, el que realiza el ataque.
En la práctica, una extensión comprometida que tradicionalmente solo podría ver contenido web se convierte, en ciertos diseños, en una puerta de acceso a software que lee archivos, datos de navegación y actúa en sitios web en nombre del usuario. La técnica expone una debilidad arquitectónica: los asistentes de IA integrados en los navegadores reciben privilegios que deberían estar estrictamente aislados, pero las extensiones —incluso con permisos limitados— pueden explotar las vías de comunicación que esos asistentes utilizan con el navegador.
Implicaciones estratégicas y recomendaciones para los usuarios
BragJack apunta a un desafío creciente a medida que los navegadores y otras aplicaciones de escritorio incorporan agentes de IA cada vez más capaces. La posibilidad de que una extensión maliciosa, que antes solo podía espiar la actividad web, ahora pueda ordenar a un asistente de IA que lea el correo, tome capturas de pantalla o realice acciones en sitios web bancarios, cambia el panorama de amenazas. Los investigadores han demostrado que el problema no es exclusivo de un fabricante: afecta a Google, Microsoft, Perplexity, Opera y Anthropic, lo que sugiere una debilidad común en el diseño de la integración de asistentes de IA en los navegadores Chromium.
Para los usuarios, las medidas de protección son claras pero esenciales: mantener los navegadores completamente actualizados, eliminar cualquier extensión que no se reconozca o que ya no se utilice, y tratar con máxima precaución los permisos que solicitan las extensiones, especialmente aquellos que permiten «leer y modificar todos tus datos en todos los sitios web». Estos permisos, aunque a veces necesarios para funcionalidades legítimas, representan un vector de atque crítico cuando una extensión es maliciosa o está comprometida.
Las empresas que desarrollan navegadores y asistentes de IA deberán replantearse la arquitectura de confianza entre las extensiones y los componentes privilegiados. Mientras que las reglas DNR están diseñadas para dar flexibilidad a las extensiones, su capacidad para interceptar y modificar el tráfico de los asistentes de IA convierte a ese mecanismo en un arma de doble filo. Quizás la lección más importante de BragJack es que la seguridad no puede depender únicamente de listas de bloqueo o de la protección de URLs concretas: cuando un componente privilegiado confía en el tráfico web modificable, cualquier extensión con permisos de red puede convertirse en un caballo de Troya para el asistente de IA.
El investigador ha publicado un desglose técnico completo que cubre los cinco ataques, ofreciendo a la comunidad de seguridad las herramientas para entender y mitigar estas vulnerabilidades. El ecosistema de los navegadores inteligentes está apenas comenzando a madurar, y BragJack es un recordatorio de que cada nueva capacidad trae consigo nuevos riesgos. La pregunta no es si veremos más ataques de este tipo, sino cuándo y cómo la industria responderá con defensas arquitectónicas, no solo reactivas, para proteger a los usuarios que ya confían en sus asistentes de IA para tareas cotidianas.
