BragJack: satu ekstensi peramban membajak agen AI di lima peramban utama

Pada 16 September 2026, Gal Weizman, seorang peneliti keamanan di Forever Security, menerbitkan BragJack: sebuah bukti konsep yang di dalamnya satu ekstensi browser biasa — tanpa zero-day, tanpa model yang di-jailbreak, tanpa server vendor yang disusupi — mengambil kendali atas agen AI yang tertanam di lima produk berbasis Chromium, yaitu Gemini Live di Google Chrome, Copilot di Microsoft Edge, Opera Neon, Perplexity Comet, dan Claude in Chrome. Ekstensi itu tidak meminta izin yang aneh. Ia menggunakan skrip konten dan API declarativeNetRequest milik Chromium, dua izin yang sama yang terdapat di sebagian besar pemblokir iklan, untuk menjangkau saluran privat yang digunakan situs web milik masing-masing vendor guna mengirim instruksi ke agennya. Weizman melaporkan bahwa Comet mengalami kompromi paling luas, bahwa Google dan Microsoft telah merilis perbaikan dan menetapkan CVE-2026-0628 dan CVE-2026-55945, serta bahwa belum ada serangan di dunia nyata yang teramati. Kasus ini dicatat sebagai kerentanan dengan tingkat keparahan tinggi di arsip insiden AI, yang setiap catatannya memuat sumber, tingkat keyakinan, dan penanda status diperdebatkan.

Ekstensi itu tidak merusak model. Ia merusak saluran.

Kelima produk itu dibangun dengan cara yang sama, menurut pendamping teknis yang diterbitkan Forever Security pada hari yang sama. Masing-masing memiliki "body" di dalam browser yang dapat membuka tab, membaca file lokal, mengambil tangkapan layar, dan mengklik halaman, serta "brain" di luar browser yang memutuskan apa yang harus dilakukan body — server Gemini milik Google untuk Chrome, aplikasi web perplexity.ai untuk Comet, copilot.microsoft.com untuk Edge, backend Anthropic untuk Claude in Chrome. Body dirancang untuk menerima instruksi dari tepat satu origin: situs web vendor itu sendiri. Satu origin tepercaya itulah keseluruhan model keamanannya. Itu juga hal yang boleh diakses oleh ekstensi browser.

Chromium memberi ekstensi apa pun yang terpasang dua kekuatan yang hampir universal. Content script memungkinkannya menjalankan JavaScript di dalam halaman. API declarativeNetRequest, atau DNR, memungkinkannya menulis ulang lalu lintas jaringan — menghapus header respons, mengalihkan permintaan skrip ke server lain. Peramban mengerahkan upaya nyata untuk menjauhkan kedua kekuatan itu dari permukaan istimewa, dan empat dari lima vendor telah menyelesaikan sebagian pekerjaan itu. Yang ditemukan Weizman, dalam setiap kasus, adalah celah pada bagian yang mereka biarkan terbuka.

Ia menyebut teknik umum ini DinNeR Serving: gunakan DNR untuk melemahkan header keamanan halaman tepercaya, lalu gunakan DNR lagi untuk mengalihkan salah satu permintaan skrip halaman tersebut ke server yang dikendalikan penyerang. Halaman itu kini menjalankan kode penyerang, tetapi tetap mengira bahwa itu adalah halaman vendor, dan agen tetap mengira bahwa ia mendengar dari vendor. Di Chrome, Weizman melaporkan bahwa ekstensi dengan benar diblokir dari melampirkan content script atau debugger ke aplikasi Gemini yang tertanam, dan bahwa DNR adalah satu-satunya mekanisme yang belum diberi perlindungan yang sama oleh Chromium di dalam WebView. Menghapus Content-Security-Policy dan melonggarkan kebijakan isolasi dokumen sudah cukup untuk menukar skrip yang disajikan dari gstatic.com dengan skrip miliknya, dan dari dalam chrome://glic ia kemudian dapat mengirim langsung tipe pesan milik agen browser — membuat tab pada alamat file:///, membacanya kembali sebagai teks, PDF, atau tangkapan layar, serta menarik alamat email dan gambar profil yang sudah masuk.

Apa yang dilakukan ekstensi yang sama, browser demi browser

Ekstensi itu bukan lima alat. Itu adalah satu manifes yang meminta declarativeNetRequest dan akses host yang luas, ditambah file aturan terpisah untuk setiap target; hanya aturannya yang berubah di antara serangan. Tabel milik Forever Security sendiri adalah ringkasan paling jelas tentang apa yang dicapai setiap rantai, dan tabel itu direproduksi di bawah ini. Baris yang paling penting adalah Agent hijack: dalam empat dari lima kasus, hasil yang didemonstrasikan bukanlah pencurian data, melainkan kendali atas agen yang dapat bertindak atas nama pengguna di dalam sesi yang sudah login.

Rantai per-peramban tersebut adalah bagian dari BragJack yang belum diperiksa oleh pihak kedua. BleepingComputer, Cyber Security News, Cloud Security Alliance, dan CERT nasional Thailand semuanya melaporkan pengungkapan tersebut, dan semuanya menggambarkan mekanismenya dengan cara yang sama, tetapi setiap dari mereka menggambarkan tulisan Forever Security, bukan mengujinya. Pemberitahuan ThaiCERT tanggal 21 September 2026 mengutip BleepingComputer sebagai sumbernya. Oleh karena itu, yang berikut ini adalah uraian Weizman tentang proof of concept miliknya sendiri, yang memang merupakan hakikat sebuah pengungkapan, dan bukan hasil yang direproduksi secara independen.

Perplexity Comet: domain uji yang masih ada di daftar tepercaya

Comet adalah yang terburuk dari kelima browser itu menurut peringkat peneliti tersebut sendiri, dan alasannya bersifat struktural, bukan kesalahan coding. Perplexity membangun browser yang agennya memegang izin milik browser itu sendiri, sehingga agen yang dibajak mewarisi semua izin tersebut. Perplexity juga telah melakukan pekerjaan defensif yang dilewatkan oleh yang lain: ekstensi sepenuhnya diblokir untuk berjalan di perplexity.ai, itulah sebabnya Weizman mengatakan pemblokir iklan tidak berfungsi di sana.

Celahnya ada pada daftar origin ekstensi agen yang darinya ekstensi itu akan menerima perintah. Menurut tulisan teknis tersebut, daftar itu berisi sepuluh entri, bukan satu — perplexity.ai dan varian www-nya, ditambah host testing, staging, dan preview pada perplexity.com maupun perplexity.ai. Hanya host produksi yang telah diperketat. testing.perplexity.com masih menerima skrip konten. Kendala yang tersisa adalah setiap domain tersebut menjawab dengan pengalihan 302 ke perplexity.ai, sehingga browser tidak pernah cukup lama berada di halaman uji bagi skrip untuk terpasang. Aturan DNR yang menghapus header Location menghilangkan kendala itu, dan skrip konten kemudian dapat berbicara kepada ekstensi agen secara langsung melalui saluran perpesanan runtime yang dieksposnya.

Apa yang akan dilakukan agen atas permintaan, menurut Weizman, adalah menampilkan riwayat penjelajahan, membuka URL arbitrer termasuk jalur file:///, dan mengambil tangkapan layar tab yang terlihat—lalu, melalui perintah yang memulai proses agen dari prompt yang diberikan, melakukan hampir semua yang bisa dilakukan pengguna. Prompt demonstrasinya meminta Comet mengunjungi perplexity.ai, merangkum lima email terakhir, dan mengirim ringkasan itu ke alamat kedua. Ia juga melaporkan bahwa akses file:/// telah ditangani dalam pengungkapan Comet sebelumnya, tetapi perbaikannya peka huruf besar-kecil, sehingga FiLe:///etc/hosts masih berfungsi. Tidak satu pun dari itu muncul dalam advisori Perplexity mana pun; perusahaan membayar bounty dan, menurut Forever Security, memperbaiki perilaku yang diperlihatkan kepadanya.

Microsoft Edge: halaman pemasaran, klik sintetis, dan sebuah perlombaan

Edge adalah satu-satunya sasaran yang melawan balik, dan itu yang paling instruktif di antara kelima. Microsoft telah memisahkan agennya menjadi mode "Think" yang menerima prompt dan mode "Do" yang bertindak pada halaman, dengan keduanya sengaja tidak dapat berjalan bersamaan — mekanisme keamanan yang nyata, dan yang menghentikan pemaksaan prompt secara konstruksi. Microsoft juga telah memperkuat halaman pemasaran di microsoft.com/edge yang mendemonstrasikan agen tersebut, dengan membatasi fungsi pengiriman prompt istimewanya pada tiga kondisi terpisah: Content-Security-Policy yang tidak bisa sekadar dihapus, karena objek istimewa tidak pernah dibuat ketika header tersebut tidak ada, token gestur pengguna yang baru, dan fungsi yang mengisi kotak prompt alih-alih mengirimkannya.

Menurut penuturan Weizman, setiap kondisi diatasi dengan trik yang berbeda. Alih-alih menghapus CSP, ia memperluas direktif frame-ancestors-nya untuk mengizinkan penyematan oleh situs .com mana pun. Untuk token gestur, ia menambahkan izin debugger ke manifes dan mengirimkan klik sintetis, yang diterima Chromium sebagai gestur organik. Untuk race condition, ia menonaktifkan flag alat agen, memanggil fungsi pengiriman prompt, lalu mengaktifkan kembali flag tersebut saat agen masih memutuskan apakah tindakannya diizinkan. Pengaturan itu nonaktif pada saat prompt dipaksakan dan aktif pada saat pemeriksaan izin dijalankan. Itulah yang diberi CVE-2026-55945 oleh Microsoft.

Nilai uangnya sepadan dengan pekerjaannya: Forever Security mencatat $3,000 untuk temuan Edge Chromium dan $2,000 untuk race condition, total $5,000 — urutan ketiga dari lima, di bawah $7,000 masing-masing dari Google dan Perplexity.

Opera Neon dan Claude in Chrome: dua yang mudah

Opera Neon membutuhkan upaya paling sedikit dari kelima. Agennya menerima perintah dari opera.com, dan tidak seperti Google dan Perplexity, yang keduanya memblokir ekstensi agar tidak melampirkan content script ke origin tepercaya agen mereka, Opera tidak menghentikan ekstensi untuk melampirkan content script ke domain tersebut, sehingga ekstensi Weizman dapat menyuntikkan skrip ke sana dan memanggil kanal pesan agen secara langsung dengan prompt apa pun yang diinginkannya. Menghapus CSP membuat serangan yang sama dapat disematkan dalam bingkai tak terlihat di halaman mana pun. Tulisannya menambahkan satu detail yang tidak ada dalam liputan pihak lain: Opera memberitahunya bahwa mereka menemukan cacat itu secara independen sekitar waktu yang sama, dan tetap membayar bounty $900. Itu adalah klaim vendor yang dilaporkan oleh peneliti, bukan temuan yang bukti pendukungnya telah dipublikasikan oleh pihak mana pun.

Claude in Chrome adalah kasus yang aneh, karena ini adalah ekstensi, bukan browser, dan Forever Security mengatakan itu dengan gamblang: satu ekstensi yang mengeksploitasi ekstensi lain merupakan risiko yang lebih kecil daripada ekstensi yang mengeksploitasi browser tempat ekstensi itu berjalan. Mekanismenya adalah halaman pemasaran di claude.ai yang dapat meneruskan prompt sembarang ke panel samping, dikombinasikan dengan skrip konten yang terpicu saat klik pada tombol onboarding dan membaca prompt dari atribut data. Weizman sendiri menetapkan id dan atribut pada body halaman, mengirim klik sintetis melalui izin debugger, dan panel samping terbuka dengan prompt miliknya di dalamnya. Anthropic menilainya sebagai tingkat keparahan sedang, membayar bounty, dan menurut Forever Security mengakui perusahaan tersebut sebagai yang pertama melaporkan temuan khusus ini. Dua unggahan Forever sedikit berbeda pendapat soal jumlahnya — $600 di tabel utama, $500 di dokumen teknis pendamping.

Apa yang sebenarnya dinyatakan oleh catatan milik para vendor sendiri

Hanya dua dari lima yang menghasilkan catatan kerentanan publik, dan keduanya sudah ada beberapa bulan sebelum tulisan BragJack. Catatan rilis kanal stabil Google untuk 6 Januari 2026 mencantumkan "Tinggi CVE-2026-0628: Penegakan kebijakan yang tidak memadai pada tag WebView. Dilaporkan oleh Gal Weizman pada 2025-11-23", dan menyebut 143.0.7499.192/.193 untuk Windows dan Mac serta 143.0.7499.192 untuk Linux. Entri National Vulnerability Database, yang diterbitkan pada 7 Januari 2026, menjelaskan bahwa celah tersebut memungkinkan penyerang "yang meyakinkan pengguna untuk memasang ekstensi berbahaya agar menyuntikkan skrip atau HTML ke halaman istimewa melalui Chrome Extension yang dibuat khusus", mengklasifikasikannya sebagai CWE-862, tidak adanya otorisasi, dan memiliki skor CVSS 3.1 sebesar 8.8. Skor itu bukan milik Google: skor tersebut berasal dari pengayaan catatan oleh CISA, seperti dicatat The Hacker News, dan catatan Google sendiri menilai masalah tersebut sebagai Tinggi.

Catatan Microsoft bahkan lebih sempit. CVE-2026-55945, yang diterbitkan pada 3 Juli 2026, adalah race condition CWE-362 dengan skor CVSS 3.1 sebesar 4.2, tingkat keparahan Moderate. Pernyataan dampak Microsoft adalah "Information Disclosure", dan FAQ miliknya sendiri menyatakan bahwa informasi yang diungkapkan adalah konten file. Build yang diperbaiki adalah 150.0.4078.48, dirilis pada hari yang sama, dan status eksploitasi dalam catatan tersebut berbunyi "Publicly Disclosed: No; Exploited: No". Tidak ada dalam dokumen itu yang menjelaskan agen yang dikendalikan melintasi situs web sembarangan, yang merupakan dampak yang dilaporkan Weizman. Kedua pernyataan itu bisa sama-sama benar — CVE mencakup race condition, sedangkan kemampuan di halaman pemasaran adalah temuan kedua yang dibayar secara terpisah — tetapi tidak ada dokumen vendor yang diterbitkan sejauh ini yang menjelaskan rantai end-to-end.

"Zero clicks" berarti setelah ekstensi terpasang

Frasa di tabel Forever Security akurat sekaligus mudah disalahpahami. BragJack bukanlah serangan drive-by. BleepingComputer, Cloud Security Alliance, dan ThaiCERT semuanya menonjolkan prasyarat yang sama: ekstensi berbahaya tersebut harus sudah terpasang. Yang ditunjukkan penelitian adalah bahwa setelah terpasang, tidak diperlukan klik tambahan — ekstensi menjangkau agen di halaman mana pun yang kebetulan sedang dibuka pengguna, tanpa menampilkan apa pun. Untuk Comet dan Opera Neon, hal itu tidak memerlukan interaksi sama sekali; untuk Edge dan Claude in Chrome, klik yang diminta agen disintesiskan oleh ekstensi melalui izin debugger, sehingga pengguna juga tidak memberikannya.

Perbedaan itulah yang menentukan paparan di dunia nyata. Serangan ini memerlukan要么 pengguna yang memasang sesuatu yang berbahaya,要么 ekstensi yang sudah dipercaya di toko yang kemudian berubah menjadi berbahaya, dan keduanya bukanlah ambang yang tinggi — itulah sebabnya rekomendasi CSA berfokus pada inventaris ekstensi dan pada memperlakukan izin declarativeNetRequest dan debugger sebagai hak istimewa. Itu juga sebabnya belum ada yang melaporkan serangan: proof of concept yang memerlukan ekstensi bermusuhan terpasang adalah demonstrasi kemampuan, bukan kampanye.

Pemaksaan prompt, dan argumen penjualan yang melekat padanya

Terminologi ini penting karena menggambarkan di mana pertahanan berada. Prompt injection menyembunyikan instruksi dalam konten yang sudah dibaca model; pelatihan dan filter model adalah benteng pengaman yang dimaksudkan. Yang dilakukan Weizman adalah menulis seluruh prompt, memilih momen kedatangannya, dan terus mengirim tindak lanjut — dari sumber asal yang agen dirancang untuk percaya. Pemfilteran keamanan tingkat model tidak pernah menjadi relevan, karena tidak ada apa pun dalam pertukaran itu yang tampak seperti serangan. Forever Security menyebutnya prompt forcing.

Akibat wajar yang ditarik perusahaan adalah deteksi endpoint juga tidak dapat melihatnya, karena tidak ada kode berbahaya yang berjalan: perangkat lunak sah diperintahkan melakukan sesuatu yang memang diizinkannya untuk dilakukan. Klaim itu datang menempel pada promosi produk — Forever Security menjual agen endpoint native-AI, dan kedua tulisan tersebut ditutup dengan merekomendasikannya. Pengamatan bahwa agen yang dibajak tidak menghasilkan signature malware tidak bergantung pada membeli apa pun, tetapi itu adalah argumen peneliti, bukan hasil pengukuran, dan belum ada pihak independen yang menguji apakah produk endpoint jenis apa pun mendeteksi rangkaian ini.

Apa yang sudah mapan, dan apa yang bergantung pada satu peneliti

Arsip mencatat entri ini sebagai kerentanan, tingkat keparahan tinggi, wilayah global, keyakinan B — terdokumentasi, tetapi dari sumber tunggal atau sekunder — tidak diperdebatkan, tanpa kerugian nyata yang tercatat. Tingkat itu menggambarkan bukti, bukan tingkat keparahan bug, dan pemisahan itu terlihat jelas di sepanjang cerita.

Ditetapkan, dalam arti bahwa vendor atau catatan pihak pertama menyatakannya:

• Google merilis perbaikan Chrome pada 6 Januari 2026 dalam versi 143.0.7499.192 dan .193, serta mencantumkan Gal Weizman atas laporan tertanggal 23 November 2025. Ini terdapat dalam catatan rilis Google sendiri, bukan dalam penuturan peneliti tentang hal itu.

• CVE-2026-0628 ada, dinilai Tinggi oleh Google dan 8,8 oleh pengayaan CISA dalam catatan NVD, serta diklasifikasikan sebagai penegakan kebijakan yang tidak memadai dalam tag WebView.

Microsoft menerbitkan CVE-2026-55945 pada 3 Juli 2026 sebagai race condition Moderate 4.2 yang mengarah pada pengungkapan informasi, diperbaiki di Edge 150.0.4078.48, dengan eksploitasi tercatat tidak ada.

• Penilaian SSVC dari CISA dalam kedua catatan NVD menyebutkan "exploitation: none", dan tidak ada siapa pun — vendor, peneliti, maupun pelapor — yang mengklaim adanya serangan di dunia nyata. Itu adalah ketiadaan laporan, yang tidak sama dengan bukti ketiadaan, tetapi itulah keadaan catatan enam minggu setelah publikasi.

Bertumpu hanya pada akun Forever Security:

• Setiap rantai eksploit per-browser, termasuk kumpulan aturan DNR, penghapusan pengalihan testing.perplexity.com, rangkaian halaman pemasaran Edge, dan klik tombol onboarding Claude. CVE-CVE tersebut menjelaskan dua mekanisme; CVE-CVE itu tidak menjelaskan rantai-rantai ini.

• Daftar dampak lengkap untuk Comet — riwayat penjelajahan, pembacaan file lokal, data profil, tangkapan layar — dan klaim spesifik bahwa agen Comet yang dibajak dapat diperintahkan dalam bahasa Inggris sederhana untuk merangkum dan meneruskan email. BleepingComputer melaporkannya sebagai demonstrasi peneliti; tidak ada pernyataan Perplexity yang mengonfirmasi atau membantahnya.

Akses kamera dan mikrofon Chrome, yang oleh BleepingComputer digambarkan sebagai "berpotensi" dapat dijangkau dan tabel Forever mencantumkannya sebagai tercapai.

• Total bounty. Forever Security menyatakan sekitar $20.000 di lima vendor; angka per produknya sendiri jika dijumlahkan mencapai $20.500, poin aritmetika yang juga dikemukakan The Hacker News. Angka Claude in Chrome berbeda antara dua postingan perusahaan. "lebih dari $20.000" versi BleepingComputer konsisten dengan kedua tafsiran tersebut.

• Bahwa prompt forcing adalah kelas serangan baru, bukan nama untuk sekelompok bug otorisasi. Itu adalah klaim pembingkaian, dan Cloud Security Alliance — yang mengadopsinya — menggambarkan pola yang mendasarinya sebagai celah arsitektural yang sama di berbagai vendor, bukan teknik baru dengan mekanismenya sendiri.

Tiga dari lima vendor tidak pernah menerbitkan catatan kerentanan sama sekali. CSA mencatat bahwa Perplexity, Opera, dan Anthropic mengakui dan memperbaiki proof of concept spesifik tersebut tanpa advisory yang sebanding dengan milik Google dan Microsoft, dan Forever Security tidak memberikan tanggal perbaikan untuk ketiga vendor itu. Tidak ada reproduksi independen atas rantai BragJack mana pun yang telah dipublikasikan; Cyber Security News dan ThaiCERT sama-sama mengulang pengungkapan tersebut, dan ThaiCERT mengutip BleepingComputer.

Apa yang berubah setelah pengungkapan tersebut

Bagi pengguna Chrome dan Edge, jawaban praktisnya adalah tidak ada yang perlu diubah pada 16 September: perbaikannya sudah dirilis pada Januari dan Juli, dan siapa pun yang memakai Chrome 143.0.7499.192 atau lebih baru, atau Edge 150.0.4078.48 atau lebih baru, sudah ditambal. Waktu itu layak direnungkan. Bug-bug tersebut ditutup berbulan-bulan sebelum teknik yang mengikatnya bersama memiliki nama, yang merupakan bentuk normal dari pengungkapan terkoordinasi dan juga alasan judulnya terdengar lebih buruk daripada status tambalannya.

Untuk Comet, Opera Neon, dan Claude di Chrome, situasinya kurang jelas. Masing-masing vendor membayar bounty dan, menurut Forever Security dan CSA, telah menangani perilaku yang ditunjukkan. Tidak ada yang menerbitkan advisory yang dipatok pada versi tertentu atau tanggal, sehingga tidak ada nomor build yang dapat diperiksa pengguna, hanya instruksi umum untuk selalu memperbarui. Panduan CSA untuk organisasi adalah menginventarisasi ekstensi dengan izin declarativeNetRequest atau debugger, membatasi browser agentik ke profil tanpa sesi terautentikasi ke email, kode, atau keuangan, dan menanyakan kepada vendor bagaimana mereka memisahkan input pengguna sintetis dari input asli. Saran BleepingComputer untuk individu lebih sederhana: perbarui browser, hapus ekstensi yang tidak Anda kenali, dan perlakukan "membaca dan mengubah semua data Anda di semua situs web" sebagai peringatan sebagaimana adanya.

Pertanyaan yang belum terjawab bukanlah apakah lima bug telah diperbaiki. Melainkan apakah asumsi desain di baliknya juga telah diperbaiki. Setiap produk ini memperlakukan origin web pihak pertama sebagai tempat tepercaya bagi agen lokal dengan hak istimewa untuk menerima perintah, di peramban tempat ekstensi apa pun yang terpasang dapat menulis ulang apa yang dikatakan origin tersebut. Forever Security berargumen bahwa perbaikannya adalah pemantauan tingkat endpoint; CSA berargumen untuk validasi origin, hak istimewa paling rendah, saluran perintah yang terisolasi, dan provenans input yang tidak dapat dipalsukan. Tidak satu pun dari lima vendor tersebut yang mengatakan secara publik, dalam catatan mana pun yang ditinjau untuk tulisan ini, bahwa mereka mengubah arsitekturnya alih-alih jalur spesifik yang ditempuh Weizman.

Tanggal pada catatan itu adalah tanggal penjelasannya, bukan tanggal bug-nya — dan selisih itulah inti ceritanya. Satu ekstensi, dua izin yang sudah dipegang pemblokir iklan selama bertahun-tahun, dan lima vendor yang masing-masing yakin bahwa situs web merekalah satu-satunya tempat yang tidak bisa ditembus penyerang.