BragJack: Eine Browser-Erweiterung kann die KI-Assistenten in Chrome, Edge, Opera Neon, Comet und Claude übernehmen

Sicherheitsforscher der Firma Forever Security haben am 16. September 2026 gezeigt, dass eine einzige, ganz gewöhnliche Browser-Erweiterung ausreicht, um die eingebauten KI-Assistenten von fünf Chromium-Produkten fernzusteuern: Gemini Live in Google Chrome, Perplexity Comet, die KI-Funktionen in Microsoft Edge, Opera Neon und die Erweiterung Claude in Chrome. Die Forscher nennen die Angriffskette BragJack. Betroffen sind damit ausgerechnet die Produkte, die Unternehmen gerade breit an ihre Mitarbeiter ausrollen.

Wichtig für die Einordnung: Es handelt sich um eine Forschungsveröffentlichung mit demonstrierten Angriffswegen, nicht um eine gemeldete Angriffswelle. Für keinen der fünf Fälle liegt öffentlich ein Beleg für eine reale Ausnutzung vor, und keiner der beiden vergebenen CVEs stand am 17. September 2026 im Known-Exploited-Vulnerabilities-Katalog der US-Behörde CISA (Katalogstand 2026.09.16). Trotzdem gibt es heute etwas zu tun: Wer Chrome oder Edge in einer alten Version betreibt, hat eine echte, bereits gepatchte Lücke offen. Wer keine agentischen Browser und keine KI-Erweiterungen im Einsatz hat, ist von den drei übrigen Fällen nicht betroffen und muss nichts überstürzen.

Was ist passiert?

Forever-Security-Forscher Gal Weizman beschreibt die Architektur aller fünf Produkte nach demselben Muster. Der KI-Assistent besteht aus zwei Teilen: einem sogenannten Körper, der im Browser sitzt und dort privilegierte Aktionen ausführen kann (Tabs öffnen, Screenshots anfertigen, Dateien lesen, Kamera und Mikrofon ansprechen), und einem Gehirn, das als Web-Anwendung auf den Servern des Herstellers läuft und dem Körper Anweisungen schickt. Der Körper nimmt Befehle ausschließlich von einer vertrauenswürdigen Seite entgegen, bei Chrome zum Beispiel von gemini.google.com, bei Comet von einer Perplexity-Domain.

Genau an dieser einen vertrauenswürdigen Seite setzt der Angriff an. Eine Erweiterung darf laut Browser-Sicherheitsmodell Webseiten verändern, aber nicht den Browser selbst steuern. Wenn sie es aber schafft, eigenen Code in der Seite auszuführen, der den Assistenten kommandiert, spricht sie indirekt mit einer höher privilegierten Komponente. Forever Security nennt die dafür verwendete Technik DiNneR Serving: Über die Berechtigung declarativeNetRequest werden zunächst Sicherheits-Header wie die Content-Security-Policy aus der Antwort entfernt oder abgeschwächt, anschließend wird eine vom Hersteller geladene JavaScript-Datei per Redirect-Regel gegen eine Datei des Angreifers ausgetauscht.

Die Forscher betonen ausdrücklich, dass es sich dabei nicht um Prompt Injection handelt. Es wird kein bestehender Prompt manipuliert, sondern der komplette Prompt inklusive Folgeanweisungen wird selbst gesendet. Forever Security bezeichnet das als Prompt Forcing. Für Verteidiger ist der Unterschied relevant: Es läuft kein klassischer Schadcode auf dem Endpunkt, sondern eine vertrauenswürdige Software tut Dinge, die sie tun darf. Klassische EDR-Erkennung, die auf Code und Prozessverhalten schaut, greift hier schlecht.

Wer ist betroffen?

• Google Chrome mit Gemini Live: Versionen vor 143.0.7499.192. Der Fall ist als CVE-2026-0628 geführt (unzureichende Policy-Durchsetzung im WebView-Tag) und wurde von Google bereits am 6. Januar 2026 im Stable-Channel-Update behoben. Gemeldet hatte Weizman die Lücke laut Chrome-Release-Notes am 23. November 2025, damals unter dem Namen GlicJack.
• Microsoft Edge: Versionen vor 150.0.4078.48. Geführt als CVE-2026-55945, eine Race Condition, von Microsoft am 2. Juli 2026 gepatcht.
• Perplexity Comet: Kein CVE. Laut Forever Security war Comet der schwerwiegendste Fall, weil der Agent dort sehr weitreichende Rechte hat.
• Opera Neon: Kein CVE. Laut Forscherbericht der technisch einfachste Fall, weil Opera Erweiterungen nicht daran hinderte, Code auf opera.com auszuführen.
• Claude in Chrome (Anthropic-Erweiterung): Kein CVE. Forever Security stuft diesen Fall selbst als den mildesten der Untersuchung ein, weil hier eine Erweiterung eine andere Erweiterung angreift und nicht den Browser.

Nicht betroffen sind Umgebungen, in denen die KI-Assistenten der genannten Produkte gar nicht aktiv sind, sowie Firefox- und Safari-Installationen, die in der Untersuchung nicht vorkommen. Ebenfalls nicht betroffen sind Installationen, in denen Nutzer keine Erweiterungen installieren dürfen, denn jeder der fünf Angriffe setzt voraus, dass die Erweiterung des Angreifers bereits im Browser des Opfers läuft.

Wie kritisch ist das?

Die beiden bewerteten Fälle liegen weit auseinander. CVE-2026-0628 ist mit CVSS 3.1 von 8.8 als hoch eingestuft (Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H), erfordert aber Nutzerinteraktion in Form der Installation einer bösartigen Erweiterung. CVE-2026-55945 in Edge kommt auf 4.2 und damit mittel (AV:L/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N). Der Angriffspfad ist in beiden Fällen kein Remote Code Execution ohne Zutun des Nutzers, sondern Datenabfluss und Manipulation nach vorheriger Installation einer präparierten Erweiterung.

Die folgende Übersicht fasst zusammen, was Forever Security je Produkt demonstriert hat. Alle Angaben stammen aus dem Forscherbericht und sind außerhalb der beiden CVEs nicht unabhängig bestätigt.

Produkt	Demonstrierte Auswirkung	CVE	Status
Chrome (Gemini Live)	Lokale Dateien lesen, Kamera und Mikrofon, Screenshots, Profildaten	CVE-2026-0628	Gepatcht in 143.0.7499.192
Perplexity Comet	Agent steuern, lokale Dateien, Verlauf, Screenshots, Profildaten	keine	Bounty gezahlt, Fixtermin nicht belegt
Microsoft Edge	Agent steuern	CVE-2026-55945	Gepatcht in 150.0.4078.48
Opera Neon	Agent steuern	keine	Bounty gezahlt, Fixtermin nicht belegt
Claude in Chrome	Agent steuern	keine	Als mittel eingestuft, Bounty gezahlt

Zur Reaktion der Hersteller lässt sich belastbar nur sagen: Google und Microsoft haben je einen Patch mit CVE veröffentlicht, beide liegen Monate zurück. Für Perplexity, Opera und Anthropic nennt Forever Security ausgezahlte Bug-Bounties, aber kein Datum, an dem der beschriebene Weg geschlossen wurde. Eigene Stellungnahmen dieser drei Hersteller zu BragJack waren zum Redaktionsschluss nicht auffindbar. Diese drei Fälle sind damit als unbestätigt hinsichtlich des Fixstands zu behandeln.

Welche Berechtigungen einer Erweiterung reichen aus?

Der unangenehmste Teil der Untersuchung ist die Anspruchslosigkeit des Angriffs. Forever Security veröffentlicht die verwendete manifest.json und sie kommt mit einer einzigen API-Berechtigung aus: declarativeNetRequest, ergänzt um host_permissions auf https://*/*. Beides ist bei Werbeblockern, Übersetzungs-Add-ons, Coupon-Tools und Sicherheits-Erweiterungen völlig üblich und fällt in keiner Freigabeprüfung auf.

Für Admins bedeutet das: Die Berechtigungsanzeige im Extension-Store taugt hier nicht als Risikofilter. Eine Erweiterung, die bei der Installation nur ankündigt, Webseiteninhalte lesen und ändern zu dürfen, kann in einem Browser mit eingebautem KI-Agenten sehr viel mehr Schaden anrichten als in einem Browser ohne. Das Risiko einer Erweiterung hängt damit nicht mehr nur an ihren eigenen Rechten, sondern auch daran, welche privilegierten KI-Komponenten im selben Browser mitlaufen.

Was sollten Admins jetzt tun?

• Versionsstand prüfen: Chrome muss mindestens auf 143.0.7499.192 stehen, Edge mindestens auf 150.0.4078.48. Beide Patches sind alt genug, dass ein Rückstand auf einen grundsätzlich kaputten Update-Prozess hindeutet und nicht nur auf diese eine Lücke.
• Inventar der Browser ziehen: Klären, ob Perplexity Comet, Opera Neon oder die Claude-in-Chrome-Erweiterung überhaupt im Unternehmen laufen. Agentische Browser werden oft ohne IT-Freigabe installiert und tauchen in klassischen Softwarelisten spät auf.
• Installierte Erweiterungen auflisten: In Chrome und Edge lassen sich die installierten Erweiterungen per Gruppenrichtlinie, Chrome Enterprise Core oder Intune zentral erfassen. Alles bewerten, was declarativeNetRequest oder breite Host-Rechte anfordert.
• Erweiterungen per Allowlist begrenzen: Die Richtlinien ExtensionInstallBlocklist mit Wert * plus ExtensionInstallAllowlist mit den freigegebenen IDs sind der wirksamste Hebel gegen diese gesamte Angriffsklasse. Das gilt für Chrome und Edge gleichermaßen.
• KI-Assistenten im Browser bewusst entscheiden: Wo der Mehrwert nicht klar ist, lassen sich die eingebauten Assistenten per Richtlinie deaktivieren. Das verkleinert die Angriffsfläche sofort und kostet nichts.
• Hochrisikoarbeitsplätze zuerst: Buchhaltung, Geschäftsführung, Personalabteilung und Administratoren zuerst durchgehen. Dort liegen Postfächer und Dateien, die ein gekaperter Agent direkt auswerten kann.
• Protokolle sichten: Ungewöhnliche ausgehende Verbindungen aus Browserprozessen zu unbekannten Domains und auffällige Zugriffe auf file://-Pfade sind die wenigen Spuren, die diese Angriffsklasse hinterlässt. Reine Signaturerkennung greift nicht.
• Richtlinie für KI-Nutzung ergänzen: Eine bestehende KI-Richtlinie sollte explizit regeln, welche Browser-Assistenten erlaubt sind und ob Agenten eigenständig in Webanwendungen handeln dürfen.
• Backup prüfen: Ein gekaperter Agent im Browser kann als Benutzer handeln und damit auch Daten löschen oder verschieben. Ein getesteter Restore der betroffenen Systeme bleibt die letzte Absicherung.

Einordnung für Unternehmen

Die eigentliche Nachricht ist nicht die einzelne Lücke, sondern das Muster. Browser haben zwanzig Jahre lang daran gearbeitet, Erweiterungen sauber von den Innereien des Browsers zu trennen. Mit dem Einbau von KI-Agenten sind neue, hoch privilegierte Komponenten dazugekommen, die über eine ganz normale Webseite gesteuert werden. Damit wird die Trennlinie zwischen niedrig privilegierter Erweiterung und hoch privilegiertem Browserkern wieder durchlässig, und zwar in fünf Produkten unabhängig voneinander nach demselben Denkfehler.

Für kleine und mittlere Unternehmen folgt daraus eine sehr praktische Konsequenz: Der Browser ist heute die Stelle, an der Sitzungen, Dokumente, Postfächer und Fachanwendungen zusammenlaufen. Wer dort einen Agenten mit Handlungsrechten zulässt, sollte ihn behandeln wie einen zusätzlichen Benutzer mit weitreichenden Rechten und nicht wie eine Komfortfunktion. Dazu gehört eine Entscheidung, welche Browser überhaupt zugelassen sind, eine Allowlist für Erweiterungen und eine schriftliche Regel, was ein KI-Assistent im Unternehmensnetz tun darf.

Der zweite Punkt betrifft die Erkennung. Wenn ein Angriff ohne eigenen Schadcode auskommt und ausschließlich legitime Software zu erlaubten Aktionen bewegt, verschiebt sich die Erkennung weg von Dateien und Prozessen hin zu Verhalten und Datenflüssen. Wer aktuell EDR oder XDR auswählt oder einführt, sollte diese Angriffsklasse in die Anforderungen aufnehmen, statt sich auf Signaturen zu verlassen.

Passende Anleitungen auf S-EDV

• KI-Agenten absichern und gegen Prompt Injection härten: Warum agentische Systeme eine eigene Angriffsfläche sind und welche Härtungsschritte im Betrieb greifen.
• Gruppenrichtlinien: Grundlagen und Praxis: Grundlage für eine zentrale Erweiterungs-Allowlist und für das Abschalten nicht gewünschter Browserfunktionen.
• KI-Nutzungsrichtlinie im Unternehmen: Vorlage und Struktur für die Regel, welche KI-Werkzeuge im Betrieb erlaubt sind und welche nicht.

Quellen

• Forever Security: BragJack, How We Hijacked 5 Of The World's Most Popular Browsers Using Their Built-In AI Assistants (Gal Weizman, 16.09.2026)
• Forever Security: BragJack Technical Overview mit manifest.json, DNR-Regeln und Exploit-Details (16.09.2026)
• Google Chrome Releases: Stable Channel Update for Desktop 143.0.7499.192 mit CVE-2026-0628 (06.01.2026)
• NVD: CVE-2026-55945, Race Condition in Microsoft Edge, CVSS 4.2
• NVD: CVE-2026-0628, Insufficient Policy Enforcement in WebView Tag, CVSS 8.8
• The Hacker News: One Extension Could Hijack AI Assistants Across Chrome, Comet, Edge, Opera Neon and Claude (16.09.2026)
• CISA Known Exploited Vulnerabilities Catalog (Katalogstand 2026.09.16, beide CVEs nicht gelistet)