BragJack: Eine Erweiterung kaperte KI-Agenten in 5 Browsern

Am 16. September 2026 veröffentlichte der Sicherheitsforscher Gal Weizman von Forever Security einen Angriff, den er BragJack nennt: Eine einzige bösartige Browser-Erweiterung kann die Kontrolle über den eingebauten KI-Assistenten von fünf verschiedenen Browsern übernehmen — Gemini in Google Chrome, Copilot in Microsoft Edge, Opera Neon, Perplexity Comet und Claude in Chrome. Die Erweiterung muss dafür keine versteckten Anweisungen in einer Webseite unterbringen. Über Content Scripts und Chromiums declarativeNetRequest-API fängt sie den Verkehr zwischen Assistent und Backend ab und schreibt Befehle direkt in den privilegierten Kontext des Assistenten.

Weizman behandelt das als eigene Angriffsklasse und nennt sie Prompt Forcing. "Was wir hier gemacht haben, ist keine Prompt Injection", schrieb er — "wir haben den gesamten Prompt vollständig selbst geschrieben und gesendet." In den beschriebenen Proof-of-Concept-Angriffen konnte der gekaperte Assistent Dateien aus dem lokalen System lesen, Browser-Profildaten und den Verlauf auslesen, Screenshots anfertigen, auf Mikrofon und Kamera zugreifen sowie die E-Mails der Nutzerin oder des Nutzers zusammenfassen und diese Zusammenfassung nach außen schicken — ganz ohne Zutun der betroffenen Person.

Dass die Analyse jetzt breiter wahrgenommen wird, liegt an der Herstellerseite, die inzwischen aktenkundig ist. Forever Security listet die Auszahlungen mit 7.000 US-Dollar von Chrome, 7.000 von Perplexity Comet, 5.000 von Microsoft Edge, 900 von Opera Neon und 600 für Claude in Chrome auf, zusammen 20.500 US-Dollar; Cyber Security News sprach am 19. September von rund 20.000 US-Dollar. Die Lücken auf Browserseite waren lange vor der Veröffentlichung geschlossen. Der NVD-Eintrag zu CVE-2026-0628 beschreibt eine unzureichende Richtliniendurchsetzung im WebView-Tag von Chrome, durch die ein Angreifer nach der Installation einer bösartigen Erweiterung Skripte oder HTML in eine privilegierte Seite einschleusen konnte; der Score liegt bei 8.8 (hoch), behoben in Chrome 143.0.7499.192, veröffentlicht am 7. Januar 2026. CVE-2026-55945 betrifft eine Race Condition in Microsoft Edge, die lokalen Informationsabfluss erlaubt, von Microsoft mit 4.2 (mittel) bewertet, behoben in Edge 150.0.4078.48 und veröffentlicht am 3. Juli 2026.

Wichtig ist weniger der einzelne Fehler als die Vertrauensgrenze. Die Browserhersteller bringen Assistenten, die Seiten lesen und stellvertretend handeln, gerade in die Breite — und dieser Assistent ist eine privilegierte Komponente oberhalb gewöhnlicher Webinhalte. BragJack zeigt: Eine Erweiterung, die vor Monaten installiert und längst vergessen wurde, sitzt auf derselben Seite dieser Grenze und kann mit der Autorität des Browsers selbst zum Agenten sprechen, nicht als nicht vertrauenswürdige Webseite.

Offen bleibt einiges. Cyber Security News berichtete, es gebe keine Hinweise auf Angriffe in freier Wildbahn; die von der CISA beigesteuerten Bewertungen in beiden NVD-Einträgen führen Ausnutzung als "none". Es handelte sich um einen verantwortungsvoll offengelegten Proof of Concept. Opera, Perplexity und Anthropic zahlten Prämien, doch gepatchte Versionsnummern für Opera Neon, Perplexity Comet oder Claude in Chrome sind bislang in keiner Berichterstattung aufgetaucht. Der praktische Schritt: prüfen, ob Chrome auf 143.0.7499.192 oder neuer und Edge auf 150.0.4078.48 oder neuer läuft, und Erweiterungen entfernen, die ihre Berechtigungen nicht mehr rechtfertigen.

Offenlegung: Der redaktionelle Prozess von NewUJ nutzt die Claude-Modelle von Anthropic.