BragJack toont hoe één malafide extensie AI-browseragents kan sturen

BragJack, een onderzoeksproject van beveiligingsonderzoeker Gal Weizman van Forever Security, demonstreert een risico voor browseragents dat begint met een bekende voorwaarde: er moet eerst een malafide extensie zijn geïnstalleerd. Wat na die installatie verandert, is de reikwijdte van de invloed. De demonstraties lieten zien dat één extensie, zodra die aanwezig is in Chrome of een andere ondersteunde browsercontext, meerdere AI-browseragents kan sturen en in sommige gevallen acties kan uitlokken zonder nog een klik van de gebruiker.

Van chatbotprompt naar browsercontrole

Het onderzoek werd gedemonstreerd tegen Chrome met Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon en Claude in Chrome. Die lijst is relevant omdat het probleem niet wordt gepresenteerd als één enkele fout in één assistent. Het gaat om een patroon waarin AI-browseragents, browseroppervlakken en extensiemechanismen samenkomen. De browser wordt de gedeelde omgeving, en de extensie wordt een positie van waaruit de aanvaller kan beïnvloeden wat de agent ziet of doet.

Dat onderscheid staat centraal in de analyse. Gewone promptinjectie hangt doorgaans af van kwaadaardige instructies die worden geplaatst waar een model ze leest, bijvoorbeeld in de inhoud van een pagina. BragJack gebruikt een techniek die Prompt Forcing wordt genoemd, en die in het onderzoek wordt onderscheiden van gewone promptinjectie. Het doel is niet alleen instructies in tekst te verbergen, maar manipulatie op browserniveau te gebruiken zodat de AI-agent door een gecontroleerde omgeving wordt geleid.

Het technische mechanisme dat in het onderzoek wordt beschreven, draait om declaratieve regels voor netwerkverzoeken. Die regels kunnen worden gebruikt om beveiligingsheaders of omleidingen aan te passen. In praktische zin betekent dit dat de extensie kan veranderen hoe browserverkeer en browserbescherming zich gedragen voordat de AI-agent de resulterende pagina of workflow interpreteert. De agent kan vervolgens handelen op basis van een paginastaat die al door de malafide extensie is gevormd.

Wat de demonstraties lieten zien

De gedemonstreerde effecten omvatten het lezen van lokale bestanden en geschiedenis, het vastleggen van screenshots en mogelijk toegang tot camera’s of microfoons. Dit zijn gevoelige browser- en apparaatoppervlakken, en hun aanwezigheid in de demonstraties verklaart waarom het onderzoek meer is dan een theoretisch geval van promptmanipulatie. Het probleem gaat over een AI-browseragent die werkt in een omgeving waarin een malafide extensie aannames rond toegang, context of verloop kan hebben veranderd.

In één demonstratie met Perplexity Comet werd informatie geëxfiltreerd tijdens het samenvatten van e-mail. Dat scenario illustreert het praktische risico van het combineren van een routinematige AI-taak met inmenging op browserniveau. Het zichtbare doel van de gebruiker is eenvoudig: een agent vragen e-mail samen te vatten. De verborgen uitkomst is anders: informatie verlaat de verwachte context. De aangeleverde feiten kwantificeren niet hoe breed dit in echte implementaties kan voorkomen, maar de demonstratie laat zien dat de aanvalsklasse uitvoerbaar is onder de genoemde voorwaarden.

Een voorbeeld met Microsoft Edge Think-and-Do maakte gebruik van een racecondition. Dat detail voegt een andere dimensie toe aan het onderzoek, omdat het laat zien dat het gedrag niet beperkt blijft tot statische manipulatie van inhoud. Timing en uitvoeringsvolgorde kunnen van belang zijn wanneer AI-browseragents handelen via browserworkflows. In zulke gevallen omvat het aanvalsoppervlak niet alleen wat de agent leest, maar ook wanneer de browser en de agent bepaalde stappen uitvoeren.

De rapporten stellen ook dat sommige acties kunnen plaatsvinden zonder nog een klik nadat de malafide extensie is geïnstalleerd. Dat neemt de initiële installatievoorwaarde niet weg; die blijft een belangrijke beperking. Maar het verandert wel het model voor gebruikersinteractie na compromittering. Een gebruiker kan denken dat het risico afhangt van herhaaldelijk goedkeuren van acties, terwijl het onderzoek laat zien dat de geïnstalleerde extensie omstandigheden kan creëren waarin aanvullende interactie niet altijd nodig is.

Wat de bugbountybedragen aantonen

Het onderzoek leverde meer dan $20,000 aan bugbounty’s op, met afzonderlijke beloningen van $600 tot $7,000. Die bedragen tonen aan dat de betrokken partijen ten minste sommige bevindingen binnen hun programma’s als geldig beschouwden en een beloning waard vonden. Ze geven ook aan dat het onderzoek niet één geïsoleerde melding was, maar een reeks kwesties die belangrijk genoeg waren om meerdere beloningen over een reeks waarden op te leveren.

De bedragen bewijzen geen verspreiding in het wild, gebruikersblootstelling op schaal of dat elke AI-browseragent op dezelfde manier wordt geraakt. Bugbountybedragen zijn geen meting van exploitfrequentie. Ze vormen ook geen gestandaardiseerde ernstschaal over alle leveranciers en contexten heen. Een beloning van $600 en een beloning van $7,000 kunnen programmaregels, impactbeoordeling, reproductiedetails en leveranciersscope weerspiegelen, en die factoren mogen niet worden samengevoegd tot één risicoscore.

Het onderzoek omvat CVE-2026-0628 en CVE-2026-55945. CVE-toekenning is van belang omdat specifieke gemelde kwesties daarmee identifiers krijgen die los van het bredere BragJack-concept kunnen worden gevolgd. Op zichzelf betekent dit niet dat dezelfde kwetsbaarheid bestaat in elke agent die in de demonstraties wordt genoemd. De sterkere conclusie is smaller: specifieke kwesties zijn geïdentificeerd, gemeld en gecatalogiseerd als onderdeel van een breder onderzoek naar misbruik van browseragents via extensies.

Oplossingen en praktische implicaties

Google en Microsoft hebben gemelde kwesties opgelost. Dat is een belangrijk onderscheid tussen de onderzoeksclaim en de reactie van leveranciers: de oplossingen gelden voor gemelde kwesties, niet noodzakelijk voor elk mogelijk Prompt Forcing-scenario dat door extensies wordt aangedreven. De hier beschikbare feiten beschrijven geen oplossingen door elk genoemd product en stellen ook niet dat de bredere klasse is geëlimineerd. De praktische implicatie is dat beveiliging van browseragents niet alleen als een probleem van modelafstemming kan worden behandeld.

Voor gebruikers en organisaties ligt de meest directe les bij geïnstalleerde extensies. BragJack vereist dat een malafide extensie wordt geïnstalleerd, dus de initiële vertrouwensbeslissing blijft cruciaal. Zodra aan die voorwaarde is voldaan, kan de agent echter opereren binnen een browsercontext die de aanvaller kan beïnvloeden. Dat verschuift de risicobeoordeling: een extensie is niet alleen een toevoeging aan de browserinterface, maar kan een controlepunt worden voor AI-ondersteund browsergedrag.

Voor ontwikkelaars en platformteams wijst het onderzoek naar de grens tussen extensiemogelijkheden, beveiligingsheaders van browsers, omleidingen en autonomie van agents. AI-browseragents zijn ontworpen om webinhoud te lezen, samen te vatten en ernaar te handelen, maar BragJack laat zien dat de webinhoud en de browserstaat actief door een extensie kunnen worden gevormd voordat de agent reageert. Beveiligingsontwerp moet daarom scheiden wat de gebruiker vroeg, wat de agent afleidde en wat de browseromgeving door manipulatie presenteerde.

De belangrijkste verandering die BragJack benadrukt, is niet dat browserextensies malafide kunnen zijn; die premisse volgt al uit de aanvalseis zelf. De verandering is dat AI-browseragents manipulatie op browserniveau een nieuwe route naar gevolgen geven. Eén geïnstalleerde extensie kan meerdere agents beïnvloeden, en de demonstraties tonen effecten die variëren van gegevenstoegang tot misbruik van workflows. Het onderzoek bewijst geen universele compromittering, maar laat wel zien waarom vertrouwen in extensies, browserbemiddeling en acties van AI-agents samen moeten worden beoordeeld.