BragJack: una extensión maliciosa basta para secuestrar los agentes de IA del navegador

Una extensión maliciosa basta para tomar el control de los asistentes de IA que los navegadores llevan integrados. Es lo que ha demostrado Gal Weizman, de Forever Security, con BragJack, una técnica que probó contra cinco productos basados en Chromium: Gemini Live en Chrome, Perplexity Comet, Microsoft Edge, Opera Neon y Claude en Chrome, y que detalla en su análisis técnico. El trabajo le ha reportado más de 20.000 dólares en recompensas, entre 600 y 7.000 dólares por fabricante, y dos CVE.

El ataque exige que la extensión maliciosa ya esté instalada en el navegador de la víctima. A partir de ahí, según el investigador, no hace falta ninguna interacción del usuario: la extensión maneja al agente y abusa de sus privilegios para leer información sensible o actuar en nombre de la víctima. Google y Microsoft ya han corregido los fallos que se les asignaron.

Un componente privilegiado que confía en el navegador

Weizman separa estos sistemas en dos partes: un modelo que interpreta las instrucciones y decide qué hay que hacer, y un componente privilegiado del navegador que ejecuta la acción, ya sea leer una pestaña, capturar la pantalla o interactuar con un sitio. El problema es que las extensiones pueden manipular el tráfico y las páginas en las que ese componente confía. La misma extensión sirvió para los cinco objetivos, apoyada en declarativeNetRequest (DNR), la API de Chromium que permite reescribir cabeceras de respuesta y redirigir recursos.

En Chrome, las extensiones no pueden tocar directamente el componente privilegiado chrome://glic ni inyectar scripts en el sitio de Gemini, pero las reglas DNR sí interceptaban las peticiones de la aplicación web embebida. Debilitando cabeceras de seguridad y redirigiendo un recurso JavaScript, Weizman ejecutó código dentro del contexto de Gemini y habló directamente con el componente privilegiado. Ese acceso alcanzaba archivos locales, contenido web, capturas de pantalla y, potencialmente, cámara y micrófono. Chrome asignó al fallo CVE-2026-0628 y pagó 7.000 dólares.

Cuando el agente puede actuar, no solo leer

Comet y Neon van más lejos porque sus agentes operan sobre páginas web. En Comet, la extensión interna del agente confiaba en varios dominios de Perplexity, incluido uno de pruebas con menos protecciones que el sitio principal. Weizman eliminó con DNR la redirección a ese dominio, lo cargó e inyectó un content script capaz de hablar con el agente. El resultado: historial de navegación, capturas, archivos locales y la posibilidad de darle instrucciones. En la demostración, obligó al agente a visitar Perplexity, resumir los correos de la víctima y mandar el resumen a otra dirección.

Edge planteó otro obstáculo. Microsoft había dividido su agente en modos Think y Do para que no aceptara a la vez instrucciones arbitrarias y acciones. Weizman encontró una condición de carrera que desactiva la restricción durante un instante al forzar un prompt y vuelve a habilitar la capacidad de acción antes de que el agente consulte su estado. Microsoft asignó CVE-2026-55945 al problema. Opera Neon y Claude en Chrome registraron fallos similares; el segundo es en sí mismo una extensión, no un navegador.

Prompt Forcing

Weizman llama Prompt Forcing a la técnica con la que se apropia de estos agentes. Frente a la inyección de prompt clásica, en la que el atacante cuela instrucciones maliciosas en el contenido que la IA ya está leyendo, aquí le entrega un prompt entero y las órdenes que lo siguen. El agente traduce todo eso en acciones legítimas del navegador con sus privilegios de siempre. Para las defensas de endpoint el matiz importa: la acción final no la ejecuta código malicioso, sino software legítimo al que se le dice qué hacer.

Ya hubo avisos en esta línea: Manifold Security reportó que Claude para Chrome lanzaba sus flujos de IA sobre clics sintéticos sin comprobar que vinieran de un usuario real, reproducible ocho versiones después, y LayerX describió en abril ClaudeBleed, otro fallo de la misma extensión que confiaba en el origen claude.ai en vez de verificar qué script la manejaba. Con Google y Microsoft parcheados y el resto sin calendario público, la barrera barata sigue siendo la de siempre: navegador al día, fuera las extensiones que no se reconocen y cuidado con los permisos para leer y cambiar todos los datos en todos los sitios.