BragJack: één browserextensie kaapt de AI-agenten in vijf grote browsers

Op 16 september 2026 publiceerde Gal Weizman, een beveiligingsonderzoeker bij Forever Security, BragJack: een proof of concept waarin één gewone browserextensie — geen zero-day, geen jailbreak-model, geen gecompromitteerde leveranciersserver — de controle overnam over de AI-agenten die zijn ingebouwd in vijf op Chromium gebaseerde producten: Gemini Live in Google Chrome, Copilot in Microsoft Edge, Opera Neon, Perplexity Comet en Claude in Chrome. De extensie vroeg geen exotische rechten aan. Ze gebruikte content scripts en de declarativeNetRequest API van Chromium, dezelfde twee machtigingen die in de meeste adblockers zitten, om het privékanaal te bereiken dat de eigen website van elke leverancier gebruikt om instructies naar zijn agent te sturen. Weizman meldt dat Comet de breedste compromittering was, dat Google en Microsoft fixes hebben uitgebracht en CVE-2026-0628 en CVE-2026-55945 hebben toegewezen, en dat er geen aanvallen in het wild zijn waargenomen. Het is gecatalogiseerd als een kwetsbaarheid, ernst hoog, in het AI-incidentenarchief, waar elke registratie de bronnen, betrouwbaarheidsgraad en betwistvlag bevat.

De extensie heeft het model niet gebroken. Ze heeft het kanaal gebroken.

Alle vijf producten zijn op dezelfde manier gebouwd, volgens het technische begeleidende document dat Forever Security dezelfde dag publiceerde. Elk heeft een "body" in de browser die tabbladen kan openen, lokale bestanden kan lezen, screenshots kan maken en op pagina's kan klikken, en een "brain" buiten de browser die bepaalt wat de body moet doen — de Gemini-servers van Google voor Chrome, de web-app perplexity.ai voor Comet, copilot.microsoft.com voor Edge, de backend van Anthropic voor Claude in Chrome. De body is ontworpen om instructies van precies één origin te accepteren: de eigen website van de leverancier. Die ene vertrouwde origin vormt het hele beveiligingsmodel. Het is ook het enige waar een browserextensie toegang toe mag hebben.

Chromium verleent elke geïnstalleerde extensie twee vrijwel universele bevoegdheden. Een content script laat de extensie JavaScript binnen een pagina uitvoeren. De declarativeNetRequest API, oftewel DNR, laat de extensie netwerkverkeer herschrijven: een responsheader verwijderen, een scriptverzoek naar een andere server omleiden. Browsers doen echte moeite om die twee bevoegdheden weg te houden van geprivilegieerde oppervlakken, en vier van de vijf leveranciers hadden een deel van dat werk gedaan. Wat Weizman in elk van die gevallen aantrof, was een lacune in het deel dat zij open hadden gelaten.

Hij noemt de algemene techniek DinNeR Serving: gebruik DNR om de beveiligingsheaders van een vertrouwde pagina te verzwakken, en gebruik DNR vervolgens opnieuw om een van de scriptaanvragen van die pagina om te leiden naar een server die de aanvaller beheert. De pagina voert nu code van de aanvaller uit, maar gelooft nog steeds dat het de pagina van de leverancier is, en de agent gelooft nog steeds dat hij van de leverancier hoort. In Chrome meldt Weizman dat extensies correct werden geblokkeerd om een contentscript of een debugger aan de ingebedde Gemini-app te koppelen, en dat DNR het enige mechanisme was waarvoor Chromium dezelfde bescherming niet had uitgebreid naar de binnenkant van een WebView. Het verwijderen van het Content-Security-Policy en het versoepelen van het documentisolatiebeleid was genoeg om een script dat vanaf gstatic.com werd geserveerd te vervangen door zijn eigen script, en van binnenuit chrome://glic kon hij vervolgens de eigen berichttypen van de browseragent rechtstreeks posten — een tab openen op een file:///-adres, deze teruglezen als tekst, PDF of schermafbeelding, en het e-mailadres en de afbeelding van het aangemelde profiel ophalen.

Wat dezelfde extensie per browser deed

De extensie bestond niet uit vijf tools. Het was één manifest dat om declarativeNetRequest en brede hosttoegang vroeg, plus een apart regelsbestand voor elk doel; alleen de regels veranderden tussen aanvallen. De eigen tabel van Forever Security is de duidelijkste samenvatting van wat elke keten bereikte, en die is hieronder weergegeven. De rij die er het meest toe doet is Agent hijack: in vier van de vijf was de aangetoonde uitkomst geen datadiefstal, maar controle over een agent die namens de gebruiker kon handelen binnen ingelogde sessies.

Die ketens per browser zijn het deel van BragJack dat door geen enkele tweede partij is gecontroleerd. BleepingComputer, Cyber Security News, de Cloud Security Alliance en het nationale CERT van Thailand hebben allemaal over de openbaarmaking bericht, en ze beschrijven de werking allemaal op dezelfde manier, maar elk van hen beschrijft het verslag van Forever Security in plaats van het te testen. Het ThaiCERT-bericht van 21 september 2026 noemt BleepingComputer als bron. Wat volgt is dus Weizmans verslag van zijn eigen proof of concept, wat een openbaarmaking is, en geen onafhankelijk gereproduceerd resultaat.

Perplexity Comet: een testdomein staat nog steeds op de vertrouwenslijst

Comet was de slechtste van de vijf volgens de eigen rangschikking van de onderzoeker, en de reden is structureel in plaats van een programmeerfout. Perplexity bouwde een browser waarin de agent over de eigen machtigingen van de browser beschikt, zodat een gekaapte agent ze allemaal erft. Perplexity had ook het defensieve werk gedaan dat de anderen hadden overgeslagen: het draaien van extensies op perplexity.ai is volledig geblokkeerd, waardoor Weizman zegt dat adblockers daar niet werken.

Het lek zat in de lijst met origins waarvan de agentextensie commando's zou accepteren. Volgens de technische uiteenzetting bevatte die lijst tien vermeldingen, niet één: perplexity.ai en de www-variant daarvan, plus testing-, staging- en preview-hosts op zowel perplexity.com als perplexity.ai. Alleen de productiehosts waren gehard. testing.perplexity.com accepteerde nog steeds contentscripts. Het resterende obstakel was dat elk van die domeinen antwoordde met een 302-redirect naar perplexity.ai, zodat de browser nooit lang genoeg op de testpagina terechtkwam om een script te koppelen. Een DNR-regel die de Location-header verwijdert, neemt dat obstakel weg, en het contentscript kan vervolgens rechtstreeks met de agentextensie communiceren via het runtime-messagingkanaal dat deze beschikbaar stelt.

Wat de agent op verzoek zou doen, volgens Weizman, was de browsergeschiedenis weergeven, willekeurige URL's openen, inclusief file:///-paden, en screenshots maken van zichtbare tabbladen — en vervolgens, via een opdracht die een agent-run start vanuit een aangeleverde prompt, bijna alles doen wat een gebruiker zou kunnen doen. Zijn demonstratieprompt vroeg Comet om perplexity.ai te bezoeken, de laatste vijf e-mails samen te vatten en de samenvatting naar een tweede adres te sturen. Hij meldt ook dat toegang via file:/// aan de orde was gesteld in een eerdere Comet-openbaarmaking, maar dat de oplossing hoofdlettergevoelig was, waardoor FiLe:///etc/hosts nog steeds werkte. Niets daarvan staat in enig Perplexity-advies; het bedrijf betaalde een bounty en heeft volgens Forever Security het getoonde gedrag verholpen.

Microsoft Edge: een marketingpagina, een synthetische klik en een race

Edge was het enige doelwit dat zich verzette, en het is het leerzaamste van de vijf. Microsoft had zijn agent opgesplitst in een "Think"-modus die prompts accepteert en een "Do"-modus die op pagina's handelt, waarbij de twee opzettelijk niet tegelijk kunnen draaien — een echt veiligheidsmechanisme, en een dat prompt-forcing door zijn constructie voorkomt. Microsoft had ook de marketingpagina op microsoft.com/edge die de agent demonstreert beveiligd, waarbij de bevoorrechte functie voor het verzenden van prompts afhankelijk was gemaakt van drie afzonderlijke voorwaarden: een Content-Security-Policy die niet eenvoudig kon worden verwijderd, omdat het bevoorrechte object nooit wordt aangemaakt wanneer de header ontbreekt, een nieuwe token voor een gebruikersactie, en een functie die het promptvak vult in plaats van het te verzenden.

Weizmans verslag is dat elke voorwaarde door een andere truc werd omzeild. In plaats van de CSP te verwijderen, verruimde hij de frame-ancestors-richtlijn om insluiting door elke .com-site toe te staan. Voor het gebaar-token voegde hij de debugger-machtiging toe aan het manifest en verzond een synthetische klik, die Chromium als een organisch gebaar accepteert. Voor de race schakelde hij de agent-toolsflag uit, riep hij de functie voor het verzenden van prompts aan en schakelde hij de flag weer in terwijl de agent nog bezig was te beslissen of hij mocht handelen. De instelling stond uit op het moment dat de prompt werd afgedwongen en aan op het moment dat de permissiecontrole liep. Daarvoor heeft Microsoft CVE-2026-55945 toegekend.

Het geld komt overeen met het werk: Forever Security noteert $3.000 voor de Edge Chromium-bevinding en $2.000 voor de raceconditie, $5.000 in totaal — de derde van de vijf, achter de $7.000 elk van Google en Perplexity.

Opera Neon en Claude in Chrome: de twee makkelijke

Opera Neon kostte van de vijf de minste moeite. De agent ervan accepteert opdrachten van opera.com, en anders dan Google en Perplexity, die beide verhinderden dat extensies content scripts aan de vertrouwde origin van hun agent koppelden, had Opera niet verhinderd dat extensies een content script aan dat domein koppelden, zodat Weizmans extensie daar een script kon injecteren en het berichtkanaal van de agent rechtstreeks kon aanroepen met welke prompt hij maar wilde. Door de CSP te laten vallen, kon dezelfde aanval op elke pagina in een onzichtbaar frame worden ingebed. Zijn verslag voegt één detail toe dat in geen enkele andere berichtgeving voorkomt: Opera vertelde hem dat het de fout rond dezelfde tijd onafhankelijk had ontdekt, en toch de bounty van $900 had uitbetaald. Dat is een bewering van de leverancier die door de onderzoeker wordt gemeld, niet een bevinding waarvoor een van beide partijen bewijs heeft gepubliceerd.

Claude in Chrome is het vreemde geval, omdat het een extensie is in plaats van een browser, en Forever Security zegt dat ronduit: dat de ene extensie een andere uitbuit, is een kleiner risico dan een extensie die de browser waarin hij draait uitbuit. Het mechanisme was een marketingpagina op claude.ai die willekeurige prompts naar het zijpaneel kon doorgeven, in combinatie met een contentscript dat afging op klikken op een onboardingknop en de prompt uit een data-attribuut las. Weizman stelde zelf de id en het attribuut van de body van de pagina in, verzond een synthetische klik via de debugger-machtiging, en het zijpaneel opende met zijn prompt erin. Anthropic beoordeelde het als ernstniveau medium, betaalde een bounty en erkende volgens Forever Security het bedrijf als de eerste die deze specifieke bevinding rapporteerde. De twee Forever-berichten verschillen licht van mening over het bedrag — $600 in de hoofdtabel, $500 in de technische bijlage.

Wat de eigen administratie van de leveranciers werkelijk zegt

Slechts twee van de vijf leverden een openbare kwetsbaarheidsvermelding op, en beide zijn maanden ouder dan het BragJack-artikel. De releaseopmerking van Google voor het stabiele kanaal van 6 januari 2026 vermeldt "Hoog CVE-2026-0628: Onvoldoende handhaving van beleid in WebView-tag. Gemeld door Gal Weizman op 2025-11-23", en noemt 143.0.7499.192/.193 voor Windows en Mac en 143.0.7499.192 voor Linux. De vermelding in de National Vulnerability Database, gepubliceerd op 7 januari 2026, beschrijft de fout als het toestaan dat een aanvaller "die een gebruiker ertoe heeft gebracht een kwaadwillige extensie te installeren, via een speciaal vervaardigde Chrome-extensie scripts of HTML in een geprivilegieerde pagina injecteert", classificeert deze als CWE-862, ontbrekende autorisatie, en heeft een CVSS 3.1-score van 8.8. Die score is niet van Google: hij is afkomstig uit de verrijking van het record door CISA, zoals The Hacker News opmerkte, en de eigen opmerking van Google beoordeelt het probleem als Hoog.

Microsofts record is nog beperkter. CVE-2026-55945, gepubliceerd op 3 juli 2026, is een CWE-362-raceconditie met een CVSS 3.1-score van 4.2, ernst: Matig. Microsofts impactverklaring is "Information Disclosure", en de eigen FAQ zegt dat de vrijgegeven informatie bestandsinhoud is. De opgeloste build is 150.0.4078.48, dezelfde dag uitgebracht, en de exploitstatus in het record luidt "Publicly Disclosed: No; Exploited: No". Niets in dat document beschrijft dat een agent over willekeurige websites wordt aangestuurd, wat de impact is die Weizman meldt. Beide uitspraken kunnen tegelijkertijd waar zijn — de CVE dekt de raceconditie, terwijl de mogelijkheid op de marketingpagina een tweede bevinding was die apart werd betaald — maar geen enkel tot nu toe gepubliceerd leveranciersdocument beschrijft de end-to-end-keten.

"Zero clicks" betekent: nadat de extensie is geïnstalleerd

De zin in de tabel van Forever Security is accuraat en gemakkelijk verkeerd te lezen. BragJack is geen drive-by. BleepingComputer, de Cloud Security Alliance en ThaiCERT beginnen allemaal met dezelfde voorwaarde: de kwaadaardige extensie moet al geïnstalleerd zijn. Wat het onderzoek laat zien, is dat zodra dat het geval is, er geen verdere klik nodig is — de extensie bereikt de agent op welke pagina de gebruiker zich ook toevallig bevindt, zonder dat er iets wordt weergegeven. Voor Comet en Opera Neon was helemaal geen interactie nodig; voor Edge en Claude in Chrome werd de klik die de agent eiste, gesynthetiseerd door de extensie via de debugger-permissie, dus de gebruiker leverde die ook niet.

Dat onderscheid bepaalt de blootstelling in de echte wereld. De aanval vereist ofwel een gebruiker die iets kwaadaardigs installeert, ofwel een extensie die al in de store wordt vertrouwd en later kwaadaardig wordt, en geen van beide is een hoge drempel — daarom draaien CSA's aanbevelingen om extensie-inventaris en om declarativeNetRequest- en debugger-machtigingen als geprivilegieerd te beschouwen. Het is ook de reden dat niemand een aanval heeft gemeld: een proof of concept waarbij een vijandige extensie moet zijn geïnstalleerd, is een demonstratie van een mogelijkheid, niet van een campagne.

Prompt-forcing, en het verkoopargument dat eraan verbonden is

De terminologie is belangrijk omdat ze beschrijft waar de verdedigingen zich bevonden. Prompt-injectie verbergt instructies in inhoud die een model al leest; de training en filters van het model zijn de beoogde achtervang. Wat Weizman deed, was de volledige prompt schrijven, het moment van aankomst kiezen en blijven follow-ups sturen — vanaf een oorsprong die de agent volgens ontwerp vertrouwde. Veiligheidsfiltering op modelniveau wordt nooit relevant, omdat niets in de uitwisseling op een aanval lijkt. Forever Security noemt dit prompt forcing.

De gevolgtrekking die het bedrijf hieruit trekt, is dat endpointdetectie het ook niet kan zien, omdat er geen kwaadaardige code draait: tegen legitieme software wordt gezegd dat zij iets moet doen wat zij mag doen. Die bewering komt samen met een productpromotie — Forever Security verkoopt een AI-native endpoint-agent, en beide artikelen sluiten af met een aanbeveling ervoor. De observatie dat een gekaapte agent geen malwarehandtekening oplevert, is niet afhankelijk van enige aankoop, maar het is het argument van de onderzoeker en niet een gemeten resultaat, en geen enkele onafhankelijke partij heeft getest of een endpointproduct van welke aard dan ook deze ketens detecteert.

Wat staat vast, en wat berust op één onderzoeker

Het archief voert dit item op als een kwetsbaarheid, ernst hoog, regio wereldwijd, betrouwbaarheid B — gedocumenteerd, maar op basis van één of een secundaire bron — niet betwist, en er is geen echte schade vastgelegd. Die beoordeling beschrijft het bewijs, niet de ernst van de bugs, en die tweedeling loopt duidelijk door het hele verhaal.

Vastgesteld, in de zin dat een leverancier of een first-partyrecord het vermeldt:

• Google heeft op 6 januari 2026 een Chrome-fix uitgebracht in 143.0.7499.192 en .193, en schreef Gal Weizman de eer toe voor een melding van 23 november 2025. Dit staat in Google's eigen releaseopmerking, niet in het verslag van de onderzoeker daarover.

• CVE-2026-0628 bestaat, is door Google als Hoog beoordeeld en met 8,8 door CISA's verrijking in het NVD-record, en is geclassificeerd als onvoldoende beleidshandhaving in een WebView-tag.

• Microsoft publiceerde CVE-2026-55945 op 3 juli 2026 als een Matige 4.2-raceconditie die leidt tot openbaarmaking van informatie, opgelost in Edge 150.0.4078.48, waarbij geen exploitatie is geregistreerd.

• De SSVC-beoordelingen van CISA in beide NVD-records zeggen "exploitation: none", en niemand — leverancier, onderzoeker of melder — heeft een aanval in het wild opgeëist. Dat is een afwezigheid van meldingen, wat niet hetzelfde is als bewijs van afwezigheid, maar het is de stand van het dossier zes weken na publicatie.

Alleen vertrouwend op Forever Security's account:

• Elke exploitketen per browser, inclusief de DNR-regelsets, het verwijderen van de redirect van testing.perplexity.com, de reeks marketingpagina's van Edge en de klik op de onboardingknop van Claude. De CVE's beschrijven twee mechanismen; ze beschrijven deze ketens niet.

• De volledige lijst met gevolgen voor Comet — browsegeschiedenis, het lezen van lokale bestanden, profielgegevens, schermafbeeldingen — en de specifieke bewering dat een gekaapte Comet-agent in gewoon Engels de opdracht zou kunnen krijgen om e-mail samen te vatten en door te sturen. BleepingComputer brengt het als de demonstratie van de onderzoeker; geen enkele verklaring van Perplexity bevestigt of betwist het.

• Toegang van Chrome tot camera en microfoon, die BleepingComputer als "potentieel" bereikbaar omschrijft en die de Forever-tabel als behaald vermeldt.

• Het totale bountybedrag. Forever Security noemt ongeveer $20.000 verdeeld over vijf leveranciers; de eigen cijfers per product komen opgeteld uit op $20.500, een rekenkundig punt dat The Hacker News ook maakte. Het cijfer voor Claude in Chrome verschilt tussen de twee berichten van het bedrijf. BleepingComputer's "meer dan $20.000" is consistent met beide lezingen.

• Dat prompt forcing een nieuwe klasse van aanvallen is in plaats van een naam voor een familie van autorisatiebugs. Dat is een framingbewering, en de Cloud Security Alliance — die het heeft overgenomen — beschrijft het onderliggende patroon als een architectuurtekortkoming die leveranciers gemeen hebben, niet als een nieuwe techniek met een eigen mechanisme.

Drie van de vijf leveranciers hebben helemaal nooit een kwetsbaarheidsrecord gepubliceerd. CSA merkt op dat Perplexity, Opera en Anthropic het specifieke proof of concept hebben erkend en verholpen zonder beveiligingsadviezen die vergelijkbaar zijn met die van Google en Microsoft, en Forever Security geeft voor die drie geen data waarop fixes zijn uitgebracht. Er is geen onafhankelijke reproductie van enige BragJack-keten gepubliceerd; Cyber Security News en ThaiCERT herhalen beide de openbaarmaking, en ThaiCERT citeert BleepingComputer.

Wat veranderde er na de onthulling

Voor gebruikers van Chrome en Edge is het praktische antwoord dat er op 16 september niets hoefde te veranderen: de fixes werden in januari en juli uitgebracht, en iedereen met Chrome 143.0.7499.192 of later, of Edge 150.0.4078.48 of later, was al gepatcht. Die timing is het waard om bij stil te staan. De bugs waren al maanden dicht voordat de techniek die ze met elkaar verbond een naam had, wat de normale gang van zaken bij gecoördineerde openbaarmaking is en ook de reden dat de kop slechter leest dan de patchstatus.

Voor Comet, Opera Neon en Claude in Chrome is de positie minder duidelijk. Elke leverancier betaalde een bounty en heeft, volgens Forever Security en CSA, het gedemonstreerde gedrag aangepakt. Geen van hen publiceerde een versiegebonden advies of een datum, dus er is geen buildnummer dat een gebruiker kan controleren, alleen de algemene instructie om up-to-date te blijven. CSA's advies voor organisaties is om extensies met declarativeNetRequest- of debugger-machtigingen te inventariseren, agentische browsers te beperken tot profielen zonder geauthenticeerde sessies voor e-mail, code of financiën, en leveranciers te vragen hoe zij synthetische van echte gebruikersinvoer onderscheiden. BleepingComputer's advies voor particulieren is eenvoudiger: houd de browser bijgewerkt, verwijder extensies die u niet herkent, en behandel "alle uw gegevens op alle websites lezen en wijzigen" als de waarschuwing die het is.

De onopgeloste vraag is niet of er vijf bugs zijn opgelost, maar of de ontwerpveronderstelling erachter is bijgesteld. Elk van deze producten beschouwde een first-party web-origin als een betrouwbare plek waar een bevoorrechte lokale agent opdrachten kon aannemen, in een browser waarin elke geïnstalleerde extensie kan herschrijven wat die origin zegt. Forever Security stelt dat de oplossing monitoring op endpointniveau is; CSA pleit voor origin-validatie, minimale rechten, geïsoleerde opdrachtkanalen en onvervalsbare herkomst van invoer. Geen van de vijf leveranciers heeft publiekelijk, in enig voor dit artikel bekeken document, gezegd dat het de architectuur heeft gewijzigd in plaats van het specifieke pad dat Weizman bewandelde.

De datum van het record is de datum van de toelichting, niet de datum van de bugs — en die kloof is het verhaal. Eén enkele extensie, twee machtigingen die adblockers al jaren hebben, en vijf leveranciers die elk geloofden dat hun eigen website de enige plek was waar een aanvaller niet kon staan.