BragJack sequestra agentes de IA em navegadores
O BragJack é uma técnica que demonstra como uma única extensão maliciosa pode assumir o controle de agentes de IA integrados a navegadores baseados em Chromium. A pesquisa, divulgada por Gal Weizman, da Forever Security, afeta cenários envolvendo Gemini Live no Google Chrome, Perplexity Comet, Microsoft Edge, Opera Neon e Claude para Chrome.
Segundo o relato publicado em 19 de setembro de 2026, o ataque depende de a extensão já estar instalada; a partir daí, pode explorar privilégios do navegador para ler dados, capturar conteúdo e induzir ações em nome da vítima.
Tabela de conteúdos
Em resumo
O BragJack não instala malware tradicional para executar cada etapa. Ele abusa de uma extensão maliciosa e dos privilégios já concedidos aos agentes de IA do navegador.
Como o BragJack explora componentes confiáveis
Weizman compara esses sistemas a um “cérebro” e um “corpo”. O modelo interpreta instruções, enquanto um componente privilegiado do navegador executa tarefas como acessar abas, ler páginas, manipular sites e gerar capturas de tela. A separação deveria limitar riscos, mas o BragJack explora a confiança entre o agente de IA, o aplicativo web e os recursos carregados pelo navegador.
O ponto técnico central é o declarativeNetRequest (DNR), recurso do Chromium usado por extensões para aplicar regras a requisições de rede. Na demonstração, regras DNR alteram cabeçalhos de segurança e redirecionam recursos. Assim, uma extensão maliciosa consegue criar uma rota indireta para executar código em contextos nos quais o acesso direto deveria ser bloqueado.
Quais navegadores e assistentes foram citados
- Google Chrome: o cenário envolveu o Gemini Live e o componente chrome://glic.
- Perplexity Comet: o agente poderia receber instruções e acessar histórico, arquivos locais e capturas.
- Microsoft Edge: a pesquisa descreveu uma condição de corrida entre os modos Pensar e Fazer.
- Opera Neon e Claude para Chrome: também foram alvo de demonstrações com a mesma lógica de abuso.
No Chrome, a falha recebeu o identificador CVE-2026-0628. No Edge, a condição de corrida foi registrada como CVE-2026-55945. A matéria informa que Google e Microsoft corrigiram as falhas atribuídas a seus produtos. Usuários devem manter navegador e extensões atualizados, pois a correção só protege instalações que recebem os patches.
Do vazamento de dados ao Prompt Forcing
O risco aumenta em navegadores com agentes capazes de interagir com páginas. No teste contra o Perplexity Comet, o pesquisador demonstrou o envio de comandos ao agente para visitar um serviço, resumir e-mails e encaminhar o resultado. Isso ilustra por que permissões para ler dados de todos os sites têm peso maior quando um agente pode agir, e não apenas exibir uma resposta.
Weizman chama a técnica de Prompt Forcing. Ela difere da injeção de prompt convencional: em vez de esconder instruções em uma página que a IA lê, o invasor fornece diretamente o prompt e etapas seguintes ao agente comprometido. A ação final pode parecer legítima para os controles do endpoint, porque é executada por software autorizado usando privilégios existentes.
“Uma extensão comprometida pode se tornar caminho para software que lê arquivos e interage com sites.”
Como reduzir o risco de extensões maliciosas
Não há indicação, no material analisado, de que apenas visitar um site seja suficiente para ativar o BragJack. A pré-condição é a presença de uma extensão maliciosa. Por isso, a defesa começa com higiene básica, revisão de permissões e prudência ao testar assistentes de IA que recebem acesso amplo ao navegador.
- Remova extensões que você não reconhece ou não utiliza.
- Revise permissões, sobretudo “ler e alterar todos os dados em todos os sites”.
- Instale extensões somente de fontes oficiais e desenvolvedores verificáveis.
- Atualize Chrome, Edge, Opera e o sistema operacional assim que houver correções.
- Evite conceder acesso desnecessário a e-mail, arquivos locais, câmera ou microfone.
Para equipes de segurança, o caso reforça a necessidade de inventariar extensões, aplicar listas de permissão e avaliar agentes de IA como componentes com capacidade operacional, não apenas como interfaces de chat.
O que muda para a segurança de navegadores com IA
O BragJack expõe uma mudança de escala: extensões antes associadas a anúncios, coleta de navegação ou injeção de conteúdo podem ganhar acesso indireto a agentes com poder de ler, resumir, clicar e preencher formulários. A análise técnica completa da Forever Security detalha os cinco vetores e deve ser consultada por administradores e desenvolvedores que criam integrações semelhantes.
Perguntas frequentes sobre o BragJack
O que é o ataque BragJack?
É uma técnica que usa uma extensão maliciosa para sequestrar agentes de IA no navegador. Ela explora a comunicação com componentes privilegiados e pode induzir ações com permissões já concedidas ao agente.
O BragJack exige que a vítima instale uma extensão?
Sim. Segundo a pesquisa, a extensão maliciosa precisa já estar instalada no navegador da vítima. Isso torna a revisão de complementos e permissões uma medida preventiva essencial.
Quais produtos receberam CVEs ligados à pesquisa?
O Google Chrome associou o caso ao CVE-2026-0628, enquanto a Microsoft registrou o CVE-2026-55945 para o Edge. A matéria informa que ambos os fornecedores corrigiram as falhas atribuídas.
Prompt Forcing é o mesmo que injeção de prompt?
Não exatamente. Na injeção de prompt, instruções maliciosas aparecem no conteúdo lido pela IA. No Prompt Forcing, o invasor fornece diretamente comandos completos ao agente comprometido.
Considerações finais
O BragJack é um alerta para a convergência entre extensões, privilégios de navegador e agentes de IA. Atualizações corrigem falhas conhecidas, mas a prevenção depende também de limitar extensões, conferir permissões e evitar que ferramentas de automação recebam acesso além do necessário. Fontes: BleepingComputer e análise técnica da Forever Security.
