BragJack muestra cómo una extensión maliciosa puede dirigir agentes de navegador con IA

BragJack, un proyecto de investigación del investigador de seguridad Gal Weizman, de Forever Security, demuestra un riesgo para agentes de navegador que empieza con una condición conocida: primero debe instalarse una extensión maliciosa. Lo que cambia después de esa instalación es el alcance de la influencia. Las demostraciones mostraron que una extensión, una vez presente en Chrome o en otro contexto de navegador compatible, podía dirigir varios agentes de navegación con IA y, en algunos casos, activar acciones sin otro clic del usuario.

Del prompt de chatbot al control del navegador

La investigación se demostró contra Chrome con Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon y Claude en Chrome. Esa lista importa porque el problema no se presenta como un único fallo en un asistente. Es un patrón en el que confluyen agentes de navegación con IA, superficies del navegador y mecanismos de extensión. El navegador se convierte en el entorno compartido, y la extensión en una posición desde la que el atacante puede afectar a lo que el agente ve o hace.

Esta distinción es central en el análisis. La inyección de prompt ordinaria suele depender de que instrucciones maliciosas se coloquen donde un modelo las lee, por ejemplo en el contenido de una página. BragJack utiliza una técnica llamada Prompt Forcing, que la investigación separa de la inyección de prompt ordinaria. El objetivo no es solo ocultar instrucciones en texto, sino usar manipulación a nivel de navegador para guiar al agente de IA a través de un entorno controlado.

El mecanismo técnico descrito en la investigación implica reglas declarativas de solicitud de red. Estas reglas pueden utilizarse para modificar cabeceras de seguridad o redirecciones. En términos prácticos, eso significa que la extensión puede alterar cómo se comportan el tráfico del navegador y las protecciones del navegador antes de que el agente de IA interprete la página o el flujo de trabajo resultantes. El agente puede entonces actuar sobre un estado de página que ya ha sido moldeado por la extensión maliciosa.

Lo que mostraron las demostraciones

Los impactos demostrados incluyeron la lectura de archivos locales e historial, la captura de pantallas y el posible acceso a cámaras o micrófonos. Son superficies de navegador y de dispositivo de alta sensibilidad, y su presencia en las demostraciones explica por qué la investigación es más que un caso teórico de manipulación de prompts. El problema trata de un agente de navegador con IA que opera en un entorno en el que una extensión maliciosa puede haber alterado supuestos sobre acceso, contexto o flujo.

Una demostración de Perplexity Comet exfiltró información mientras resumía correo electrónico. Ese escenario ilustra el riesgo práctico de combinar una tarea rutinaria de IA con interferencia a nivel de navegador. El objetivo visible del usuario es simple: pedir a un agente que resuma el correo. El resultado oculto es distinto: la información sale del contexto esperado. Los hechos facilitados no cuantifican con qué amplitud puede ocurrir esto en despliegues reales, pero la demostración muestra que la clase de ataque es accionable bajo las condiciones indicadas.

Un ejemplo de Microsoft Edge Think-and-Do explotó una condición de carrera. Este detalle añade otra dimensión a la investigación porque muestra que el comportamiento no se limita a la manipulación de contenido estático. El tiempo y el orden de ejecución pueden importar cuando los agentes de navegación con IA actúan a través de flujos de trabajo del navegador. En esos casos, la superficie de ataque incluye no solo lo que lee el agente, sino cuándo el navegador y el agente realizan determinados pasos.

Los informes también dicen que algunas acciones pueden producirse sin otro clic después de que se haya instalado la extensión maliciosa. Eso no elimina el requisito inicial de instalación, que sigue siendo una restricción clave. Pero cambia el modelo de interacción del usuario tras el compromiso. Un usuario puede creer que el riesgo depende de aprobar acciones repetidamente, mientras que la investigación muestra que la extensión instalada puede crear condiciones en las que no siempre hace falta interacción adicional.

Lo que prueban las cifras de recompensas

La investigación generó más de 20.000 dólares en recompensas, con premios individuales de 600 a 7.000 dólares. Esas cifras prueban que las partes informadas trataron al menos algunos hallazgos como válidos bajo sus programas y merecedores de recompensa. También indican que la investigación no fue un único informe aislado, sino un conjunto de problemas suficientemente significativo como para recibir varios premios en un rango de valores.

Las cifras no prueban prevalencia en ataques reales, exposición de usuarios a gran escala ni que todos los agentes de navegación con IA estén afectados de la misma manera. Los importes de los programas de recompensas por errores no son una medida de la frecuencia de explotación. Tampoco son una escala de gravedad estandarizada entre todos los proveedores y contextos. Un premio de 600 dólares y uno de 7.000 dólares pueden reflejar reglas del programa, evaluación de impacto, detalles de reproducción y alcance del proveedor, elementos que no deben reducirse a una única puntuación de riesgo.

La investigación incluye CVE-2026-0628 y CVE-2026-55945. La asignación de CVE importa porque da a problemas concretos comunicados identificadores que pueden seguirse por separado del concepto BragJack más amplio. No significa por sí sola que la misma vulnerabilidad exista en todos los agentes nombrados en las demostraciones. La conclusión más sólida es más estrecha: se identificaron, comunicaron y catalogaron problemas específicos como parte de una investigación más amplia sobre abuso de agentes de navegador impulsado por extensiones.

Correcciones e implicaciones prácticas

Google y Microsoft corrigieron problemas comunicados. Es una distinción importante entre la afirmación de la investigación y la respuesta de los proveedores: las correcciones se aplican a problemas comunicados, no necesariamente a todos los posibles escenarios de Prompt Forcing impulsados por extensiones. Los hechos disponibles aquí no describen correcciones por parte de todos los productos nombrados, ni afirman que la clase más amplia haya sido eliminada. La implicación práctica es que la seguridad de los agentes de navegador no puede tratarse solo como un problema de alineamiento del modelo.

Para usuarios y organizaciones, la lección más directa tiene que ver con las extensiones instaladas. BragJack requiere que se instale una extensión maliciosa, por lo que la decisión inicial de confianza sigue siendo crítica. Una vez que se cumple esa condición, sin embargo, el agente puede operar dentro de un contexto de navegador en el que el atacante puede influir. Esto desplaza el cálculo de riesgo: una extensión no es meramente un añadido a la interfaz del navegador; puede convertirse en un punto de control para el comportamiento de navegación asistido por IA.

Para desarrolladores y equipos de plataforma, la investigación señala la frontera entre capacidades de extensión, cabeceras de seguridad del navegador, redirecciones y autonomía del agente. Los agentes de navegación con IA están diseñados para leer, resumir y actuar sobre contenido web, pero BragJack muestra que el contenido web y el estado del navegador pueden ser moldeados activamente por una extensión antes de que el agente responda. El diseño de seguridad, por tanto, debe separar qué pidió el usuario, qué infirió el agente y qué fue manipulado en el entorno del navegador para presentarlo.

El principal cambio destacado por BragJack no es que las extensiones de navegador puedan ser maliciosas; esa premisa queda establecida por el propio requisito del ataque. El cambio es que los agentes de navegación con IA dan a la manipulación a nivel de navegador una nueva vía hacia consecuencias. Una sola extensión instalada puede influir en varios agentes, y las demostraciones muestran efectos que van desde el acceso a datos hasta el abuso de flujos de trabajo. La investigación no prueba un compromiso universal, pero sí muestra por qué la confianza en extensiones, la mediación del navegador y la acción de agentes de IA deben evaluarse juntas.