BragJack: uma extensão de navegador sequestra os agentes de IA em cinco grandes navegadores

Em 16 de setembro de 2026, Gal Weizman, pesquisador de segurança da Forever Security, publicou o BragJack: uma prova de conceito na qual uma extensão de navegador comum — sem zero-day, sem modelo com jailbreak, sem servidor de fornecedor comprometido — assumiu o controle dos agentes de IA integrados a cinco produtos baseados em Chromium, Gemini Live no Google Chrome, Copilot no Microsoft Edge, Opera Neon, Perplexity Comet e Claude in Chrome. A extensão não pedia nada exótico. Ela usou scripts de conteúdo e a API declarativeNetRequest do Chromium, as mesmas duas permissões presentes na maioria dos bloqueadores de anúncios, para alcançar o canal privado que o próprio site de cada fornecedor usa para enviar instruções ao seu agente. Weizman relata que o Comet foi o comprometimento mais amplo, que o Google e a Microsoft lançaram correções e atribuíram CVE-2026-0628 e CVE-2026-55945, e que nenhum ataque em ambiente real foi observado. Está catalogado como uma vulnerabilidade de gravidade alta em o arquivo de incidentes de IA, onde cada registro traz suas fontes, grau de confiança e sinalização de contestação.

A extensão não quebrou o modelo. Ela quebrou o canal.

Todos os cinco produtos são construídos da mesma forma, de acordo com o documento técnico complementar que a Forever Security publicou no mesmo dia. Cada um tem um "corpo" dentro do navegador que pode abrir abas, ler arquivos locais, tirar capturas de tela e clicar em páginas, e um "cérebro" fora do navegador que decide o que o corpo deve fazer — os servidores Gemini do Google para o Chrome, o aplicativo web perplexity.ai para o Comet, copilot.microsoft.com para o Edge e o backend da Anthropic para o Claude no Chrome. O corpo foi projetado para aceitar instruções de exatamente uma origem: o próprio site do fornecedor. Essa única origem confiável é todo o modelo de segurança. É também aquilo que uma extensão de navegador tem permissão para acessar.

O Chromium concede a qualquer extensão instalada dois poderes que são quase universais. Um content script permite que ela execute JavaScript dentro de uma página. A API declarativeNetRequest, ou DNR, permite que ela reescreva o tráfego de rede — remover um cabeçalho de resposta, redirecionar uma solicitação de script para um servidor diferente. Os navegadores empregam esforço considerável para manter esses dois poderes longe de superfícies privilegiadas, e quatro dos cinco fornecedores haviam feito parte desse trabalho. O que Weizman encontrou, em cada caso, foi uma lacuna na parte que eles haviam deixado aberta.

Ele chama a técnica geral de DinNeR Serving: usar DNR para enfraquecer os cabeçalhos de segurança de uma página confiável, depois usar DNR novamente para redirecionar uma das requisições de script dessa página para um servidor controlado pelo atacante. A página agora executa código do atacante, mas ainda acredita ser a página do fornecedor, e o agente ainda acredita estar recebendo informações do fornecedor. No Chrome, Weizman relata que extensões foram corretamente impedidas de anexar um script de conteúdo ou um depurador ao app Gemini incorporado, e que o DNR foi o único mecanismo para o qual o Chromium não havia estendido a mesma proteção dentro de um WebView. Remover a Content-Security-Policy e relaxar a política de isolamento de documento foi suficiente para substituir um script servido de gstatic.com pelo dele, e de dentro de chrome://glic ele pôde então enviar diretamente os próprios tipos de mensagem do agente do navegador — criar uma aba em um endereço file:///, lê-la de volta como texto, PDF ou captura de tela, e extrair o endereço de e-mail e a foto do perfil conectado.

O que a mesma extensão fez, navegador por navegador

A extensão não era cinco ferramentas. Era um único manifesto que solicitava declarativeNetRequest e acesso amplo a hosts, além de um arquivo de regras separado para cada alvo; apenas as regras mudavam entre os ataques. A própria tabela da Forever Security é o resumo mais claro do que cada cadeia alcançou, e está reproduzida abaixo. A linha que mais importa é o sequestro de agente: em quatro dos cinco, o resultado demonstrado não foi roubo de dados, mas controle de um agente que poderia agir em nome do usuário dentro de sessões autenticadas.

Essas cadeias por navegador são a parte do BragJack que nenhuma outra parte verificou. O BleepingComputer, o Cyber Security News, a Cloud Security Alliance e o CERT nacional da Tailândia noticiaram a divulgação, e todos descrevem a mecânica da mesma forma, mas cada um deles está descrevendo o relatório da Forever Security em vez de testá-lo. O aviso do ThaiCERT de 21 de setembro de 2026 cita o BleepingComputer como sua fonte. O que se segue é, portanto, o relato de Weizman sobre sua própria prova de conceito, que é o que uma divulgação representa, e não um resultado reproduzido de forma independente.

Perplexity Comet: um domínio de teste ainda na lista de confiança

Comet foi o pior dos cinco segundo o próprio ranking do pesquisador, e o motivo é estrutural, não uma falha de programação. A Perplexity criou um navegador no qual o agente detém as próprias permissões do navegador, de modo que um agente sequestrado herda todas elas. A Perplexity também havia feito o trabalho defensivo que os outros haviam deixado de lado: extensões são totalmente bloqueadas de rodar em perplexity.ai, e é por isso que Weizman diz que bloqueadores de anúncios não funcionam lá.

A falha estava na lista de origens da extensão do agente das quais ela aceitaria comandos. Segundo o relatório técnico, essa lista continha dez entradas, não uma — perplexity.ai e sua variante www, além de hosts de teste, staging e preview tanto em perplexity.com quanto em perplexity.ai. Apenas os hosts de produção haviam sido reforçados. testing.perplexity.com ainda aceitava scripts de conteúdo. O obstáculo restante era que todos esses domínios respondiam com um redirecionamento 302 para perplexity.ai, então o navegador nunca permanecia na página de teste tempo suficiente para um script se anexar. Uma regra DNR que exclui o cabeçalho Location remove esse obstáculo, e o script de conteúdo pode então se comunicar com a extensão do agente diretamente pelo canal de mensagens runtime que ela expõe.

O que o agente faria sob solicitação, segundo Weizman, era listar o histórico de navegação, abrir URLs arbitrárias, incluindo caminhos file:///, e tirar capturas de tela das abas visíveis — e então, por meio de um comando que inicia uma execução do agente a partir de um prompt fornecido, fazer quase tudo o que um usuário poderia fazer. O prompt de demonstração dele pedia ao Comet que visitasse perplexity.ai, resumisse os últimos cinco e-mails e enviasse o resumo para um segundo endereço. Ele também relata que o acesso a file:/// havia sido tratado em uma divulgação anterior do Comet, mas que a correção diferenciava maiúsculas de minúsculas, então FiLe:///etc/hosts ainda funcionava. Nada disso aparece em qualquer aviso da Perplexity; a empresa pagou uma recompensa e, segundo a Forever Security, corrigiu o comportamento que lhe foi demonstrado.

Microsoft Edge: uma página de marketing, um clique sintético e uma corrida

O Edge foi o único alvo que revidou, e é o mais instrutivo dos cinco. A Microsoft havia dividido seu agente em um modo "Think", que aceita prompts, e um modo "Do", que age nas páginas, sendo que os dois deliberadamente não podem ser executados ao mesmo tempo — um mecanismo de segurança real, e que impede o forçamento de prompt por construção. A Microsoft também havia reforçado a página de marketing em microsoft.com/edge que demonstra o agente, condicionando sua função privilegiada de envio de prompts a três condições separadas: uma Content-Security-Policy que não poderia simplesmente ser excluída, porque o objeto privilegiado nunca é criado quando o cabeçalho está ausente, um token de gesto do usuário novo, e uma função que preenche a caixa de prompt em vez de enviá-lo.

O relato de Weizman é que cada condição foi contornada por um truque diferente. Em vez de excluir a CSP, ele ampliou a diretiva frame-ancestors para permitir a incorporação por qualquer site .com. Para o token de gesto, ele adicionou a permissão debugger ao manifesto e disparou um clique sintético, que o Chromium aceita como um gesto orgânico. Para a corrida, ele desativou a flag de ferramentas do agente, chamou a função de envio do prompt e então reativou a flag enquanto o agente ainda estava decidindo se tinha permissão para agir. A configuração estava desligada no momento em que o prompt foi forçado e ligada no momento em que a verificação de permissão foi executada. Foi a isso que a Microsoft atribuiu o CVE-2026-55945.

O valor corresponde ao trabalho: a Forever Security registra US$ 3.000 pela descoberta no Edge Chromium e US$ 2.000 pela condição de corrida, US$ 5.000 no total — em terceiro lugar entre os cinco, atrás dos US$ 7.000 de cada um do Google e da Perplexity.

Opera Neon e Claude in Chrome: os dois fáceis

O Opera Neon foi o que exigiu menos dos cinco. Seu agente recebe ordens de opera.com e, ao contrário do Google e do Perplexity, que bloquearam extensões de anexar content scripts à origem confiável de seus agentes, o Opera não havia impedido extensões de anexar um content script a esse domínio, então a extensão de Weizman pôde injetar um script ali e chamar diretamente o canal de mensagens do agente com qualquer prompt que quisesse. Remover a CSP tornou o mesmo ataque incorporável em um frame invisível em qualquer página. Seu relato acrescenta um detalhe que não está na cobertura de nenhum outro: o Opera lhe disse que havia encontrado a falha de forma independente mais ou menos na mesma época e, ainda assim, pagou a recompensa de US$ 900. Trata-se de uma alegação do fornecedor relatada pelo pesquisador, não de uma descoberta para a qual qualquer das partes tenha publicado evidências.

Claude in Chrome é o caso atípico, porque é uma extensão e não um navegador, e a Forever Security diz isso claramente: uma extensão explorando outra é um risco menor do que uma extensão explorando o navegador em que é executada. O mecanismo era uma página de marketing no claude.ai que podia passar prompts arbitrários para o painel lateral, combinada com um script de conteúdo que era disparado em cliques de um botão de onboarding e lia o prompt de um atributo de dados. Weizman definiu ele mesmo o id e o atributo do body da página, disparou um clique sintético por meio da permissão do depurador, e o painel lateral abriu com o prompt dele. A Anthropic classificou como gravidade média, pagou uma recompensa e, segundo a Forever Security, reconheceu a empresa como a primeira a relatar essa descoberta específica. As duas publicações da Forever discordam levemente quanto ao valor — US$ 600 na tabela principal, US$ 500 no complemento técnico.

O que os próprios registros dos fornecedores realmente dizem

Apenas dois dos cinco geraram um registro público de vulnerabilidade, e ambos antecedem em meses o artigo sobre o BragJack. A nota de versão do canal estável do Google para 6 de janeiro de 2026 lista “Alta CVE-2026-0628: Aplicação insuficiente de políticas na tag WebView. Relatado por Gal Weizman em 2025-11-23”, e indica 143.0.7499.192/.193 para Windows e Mac e 143.0.7499.192 para Linux. A entrada do National Vulnerability Database, publicada em 7 de janeiro de 2026, descreve a falha como permitindo que um atacante “que convenceu um usuário a instalar uma extensão maliciosa injete scripts ou HTML em uma página privilegiada por meio de uma extensão Chrome criada especialmente”, classifica-a como CWE-862, falta de autorização, e traz uma pontuação CVSS 3.1 de 8.8. Essa pontuação não é do Google: ela vem do enriquecimento do registro feito pela CISA, como observou o The Hacker News, e a própria nota do Google classifica o problema como Alto.

O registro da Microsoft é ainda mais restrito. O CVE-2026-55945, publicado em 3 de julho de 2026, é uma condição de corrida CWE-362 com pontuação CVSS 3.1 de 4,2, gravidade Moderada. A declaração de impacto da Microsoft é "Divulgação de Informações", e sua própria FAQ diz que as informações divulgadas são conteúdo de arquivo. A compilação corrigida é 150.0.4078.48, lançada no mesmo dia, e o status de exploração do registro diz "Divulgado publicamente: Não; Explorado: Não". Nada nesse documento descreve um agente sendo conduzido por sites arbitrários, que é o impacto relatado por Weizman. Ambas as afirmações podem ser verdadeiras ao mesmo tempo — o CVE cobre a condição de corrida, enquanto a capacidade da página de marketing foi um segundo achado pago separadamente —, mas nenhum documento de fornecedor publicado até agora descreve a cadeia de ponta a ponta.

"Zero clicks" significa depois que a extensão estiver instalada

A frase na tabela da Forever Security está correta e é fácil de interpretar mal. O BragJack não é um drive-by. O BleepingComputer, a Cloud Security Alliance e o ThaiCERT todos partem da mesma precondição: a extensão maliciosa já precisa estar instalada. O que a pesquisa mostra é que, uma vez que esteja, nenhum clique adicional é necessário — a extensão alcança o agente em qualquer página em que o usuário esteja, sem que nada seja exibido. Para o Comet e o Opera Neon, isso não exigiu interação alguma; para o Edge e o Claude in Chrome, o clique exigido pelo agente foi sintetizado pela extensão por meio da permissão de depurador, então o usuário também não o forneceu.

Essa distinção define a exposição no mundo real. O ataque exige ou um usuário que instale algo malicioso ou uma extensão já confiável na loja que se torne maliciosa mais tarde, e nenhum dos dois é um obstáculo elevado — é por isso que as recomendações da CSA se centram no inventário de extensões e em tratar as permissões declarativeNetRequest e debugger como privilegiadas. É também por isso que ninguém reportou um ataque: uma prova de conceito que exige uma extensão hostil instalada é uma demonstração de uma capacidade, não uma campanha.

Forçamento de prompt, e o argumento de vendas associado a ele

A terminologia importa porque descreve onde ficavam as defesas. A injeção de prompt esconde instruções em conteúdo que um modelo já está lendo; o treinamento e os filtros do modelo são a barreira pretendida. O que Weizman fez foi escrever o prompt inteiro, escolher o momento em que ele chegava e continuar enviando acompanhamentos — de uma origem em que o agente foi criado para confiar. A filtragem de segurança em nível de modelo nunca se torna relevante, porque nada na troca parece um ataque. A Forever Security chama isso de prompt forcing.

O corolário que a empresa extrai é que a detecção de endpoint também não consegue vê-lo, já que nenhum código malicioso é executado: está se dizendo a um software legítimo que faça algo que ele tem permissão para fazer. Essa alegação vem atrelada a uma proposta de produto — a Forever Security vende um agente de endpoint nativo de IA, e ambos os textos terminam recomendando-o. A observação de que um agente sequestrado não produz assinatura de malware não depende de comprar nada, mas é o argumento do pesquisador, e não um resultado medido, e nenhuma parte independente testou se um produto de endpoint de qualquer tipo detecta essas cadeias.

O que está estabelecido, e o que depende de um único pesquisador

O arquivo registra esta entrada como uma vulnerabilidade, severidade alta, região global, confiança B — documentada, mas proveniente de uma única fonte ou de fonte secundária — não contestada, sem dano real registrado. Essa classificação descreve as evidências, e não a gravidade dos bugs, e essa divisão atravessa a história de forma clara.

Estabelecido, no sentido de que um fornecedor ou um registro de origem primária o afirma:

• O Google lançou uma correção do Chrome em 6 de janeiro de 2026 nas versões 143.0.7499.192 e .193, e creditou Gal Weizman por um relatório datado de 23 de novembro de 2025. Isso consta na própria nota de versão do Google, e não no relato do pesquisador sobre ela.

A CVE-2026-0628 existe, está classificada como Alta pelo Google e 8.8 pelo enriquecimento da CISA no registro do NVD, e é classificada como aplicação insuficiente de políticas em uma tag WebView.

• A Microsoft publicou o CVE-2026-55945 em 3 de julho de 2026 como uma condição de corrida de gravidade Moderada 4.2 que leva à divulgação de informações, corrigida no Edge 150.0.4078.48, com exploração registrada como nenhuma.

• As avaliações SSVC da CISA em ambos os registros do NVD dizem "exploitation: none", e ninguém — fornecedor, pesquisador ou relator — alegou um ataque em ambiente real. Isso é uma ausência de relatos, que não é o mesmo que prova de ausência, mas é o estado do registro seis semanas após a publicação.

Contando apenas com a conta da Forever Security:

• Cada cadeia de exploração por navegador, incluindo os conjuntos de regras DNR, a remoção do redirecionamento de testing.perplexity.com, a sequência da página de marketing do Edge e o clique no botão de onboarding do Claude. As CVEs descrevem dois mecanismos; não descrevem essas cadeias.

• A lista completa de impactos do Comet — histórico de navegação, leitura de arquivos locais, dados de perfil, capturas de tela — e a alegação específica de que um agente do Comet sequestrado poderia receber, em inglês simples, a instrução de resumir e encaminhar e-mails. O BleepingComputer reporta isso como a demonstração do pesquisador; nenhuma declaração da Perplexity confirma ou contesta isso.

O acesso do Chrome à câmera e ao microfone, que o BleepingComputer descreve como "potencialmente" acessível e a tabela Forever lista como obtido.

• O total das recompensas. A Forever Security declara cerca de US$ 20.000 distribuídos entre cinco fornecedores; os números por produto da própria empresa somam US$ 20.500, um ponto aritmético que o The Hacker News também levantou. O valor referente ao Claude in Chrome difere entre as duas publicações da empresa. O "mais de US$ 20.000" do BleepingComputer é compatível com qualquer uma das duas leituras.

• Que o prompt forcing é uma nova classe de ataque, e não um nome para uma família de bugs de autorização. Essa é uma alegação de enquadramento, e a Cloud Security Alliance — que a adotou — descreve o padrão subjacente como uma lacuna arquitetural compartilhada entre fornecedores, não uma nova técnica com mecânicas próprias.

Três dos cinco fornecedores nunca publicaram qualquer registro de vulnerabilidade. A CSA observa que Perplexity, Opera e Anthropic reconheceram e remediaram o proof of concept específico sem avisos comparáveis aos do Google e da Microsoft, e a Forever Security não fornece datas de correção para esses três. Nenhuma reprodução independente de qualquer cadeia BragJack foi publicada; Cyber Security News e ThaiCERT ambos reafirmam a divulgação, e o ThaiCERT cita o BleepingComputer.

O que mudou após a divulgação

Para usuários do Chrome e do Edge, a resposta prática é que nada precisava mudar em 16 de setembro: as correções foram lançadas em janeiro e julho, e qualquer pessoa com Chrome 143.0.7499.192 ou posterior, ou Edge 150.0.4078.48 ou posterior, já estava protegida. Vale a pena refletir sobre esse timing. Os bugs foram corrigidos meses antes de a técnica que os unia ter um nome, o que é o formato normal da divulgação coordenada e também o motivo pelo qual a manchete soa pior do que a situação das correções.

Para o Comet, o Opera Neon e o Claude in Chrome, a situação é menos clara. Cada fornecedor pagou uma recompensa e, segundo a Forever Security e a CSA, tratou o comportamento demonstrado. Nenhum publicou um aviso vinculado a uma versão ou uma data, então não há número de build que um usuário possa verificar, apenas a instrução geral de manter-se atualizado. A orientação da CSA para organizações é inventariar extensões com permissões declarativeNetRequest ou debugger, restringir navegadores agênticos a perfis sem sessões autenticadas de e-mail, código ou finanças, e perguntar aos fornecedores como eles separam a entrada sintética da entrada genuína do usuário. O conselho do BleepingComputer para indivíduos é mais simples: mantenha o navegador atualizado, remova extensões que você não reconhece e trate "ler e alterar todos os seus dados em todos os sites" como o aviso que é.

A questão não resolvida não é se cinco bugs foram corrigidos. É se a premissa de projeto por trás deles foi. Cada um desses produtos tratava uma origem web primária como um local confiável para um agente local privilegiado receber ordens, em um navegador no qual qualquer extensão instalada pode reescrever o que essa origem diz. A Forever Security argumenta que a correção é o monitoramento em nível de endpoint; a CSA defende validação de origem, privilégio mínimo, canais de comando isolados e proveniência de entrada infalsificável. Nenhum dos cinco fornecedores declarou publicamente, em qualquer registro revisado para este artigo, que alterou a arquitetura em vez do caminho específico percorrido por Weizman.

A data do registro é a data da explicação, não a data dos bugs — e essa lacuna é a história. Uma única extensão, duas permissões que os bloqueadores de anúncios detêm há anos e cinco fornecedores, cada um dos quais acreditava que seu próprio site era o único lugar onde um atacante não conseguiria se estabelecer.