Pesquisadores de segurança da Forever Security mostraram que uma extensão de navegador comum pode assumir o controle dos assistentes de IA (Inteligência Artificial) integrados em cinco produtos baseados em Chromium: Gemini Live no Chrome, Perplexity Comet, Microsoft Edge, Opera Neon e a extensão Claude no Chrome.
Depois que a extensão era instalada, ela conseguia acessar a IA integrada de cada produto com um único clique. No Comet, Edge, Opera Neon e Claude no Chrome, ela podia direcionar o agente de IA para agir em nome do atacante; no Chrome e no Comet, podia ler arquivos do computador do usuário, e no Chrome também podia ativar a câmera e o microfone.
Os resultados são demonstrações de pesquisadores, não ataques vistos em ambiente real, e cada um exige que a extensão do atacante já esteja em execução no navegador da vítima.
Como o ataque funciona
Esses produtos funcionam todos da mesma forma. A IA tem um "corpo" dentro do navegador, capaz de ver a tela, abrir arquivos, usar a câmera e executar ações, e um "cérebro" que roda nos servidores da empresa e diz ao corpo o que fazer, segundo a Forever Security. O corpo só recebe ordens de uma página web confiável, como gemini.google.com no Chrome ou perplexity.ai no Comet.
Uma extensão não deveria ser capaz de comandar esse corpo. Ela pode alterar páginas web, mas não controlar o próprio navegador. O método da Forever Security foi tomar o controle da página confiável que o corpo escuta e, por meio dela, enviar comandos próprios ao corpo.
A extensão precisava apenas de duas permissões comuns, segundo os pesquisadores: uma que altera páginas web, usada por bloqueadores de anúncios, e outra chamada declarativeNetRequest, que modifica o tráfego de rede do navegador. Juntas, elas permitiram que a extensão injetasse seu próprio código na página confiável e falasse com a IA como se fosse o fornecedor.
Os casos do Chrome e do Edge
O caso do Chrome não é novo. O pesquisador da Forever Security Gal Weizman o detalhou publicamente pela primeira vez em março, com o nome GlicJack, e o Google o corrigiu no início de janeiro de 2026, na versão 143.0.7499.192 do Chrome. A falha é registrada como CVE-2026-0628 (Vulnerabilidades e Exposições Comuns) e recebeu nota 8,8 em 10 da agência americana de segurança cibernética CISA (Agência de Segurança Cibernética e de Infraestrutura), que definiu a pontuação porque o NIST (Instituto Nacional de Padrões e Tecnologia) ainda não havia avaliado.
As outras quatro são o que Weizman acrescentou neste ano. Usando a mesma ideia, a Forever Security afirmou ter alcançado a IA integrada no Comet, Edge, Opera Neon e Claude no Chrome. Apenas a descoberta no Edge recebeu um CVE, o CVE-2026-55945, um problema de gravidade menor, com nota 4,2, corrigido pela Microsoft na versão 150.0.4078.48 do Edge, em 2 de julho.
As descobertas no Comet, Opera Neon e Claude não têm CVE e se baseiam no relato da própria Forever Security. A empresa afirmou ter recebido cerca de 20 mil dólares em recompensas por bugs nos cinco produtos, embora os valores por produto somem 20.500 dólares.
O que cada ataque podia fazer
O Comet foi o pior caso, segundo os pesquisadores. A Perplexity construiu o Comet como um navegador totalmente dirigido por IA, de modo que seu agente tinha poderes amplos: uma vez sequestrado, podia ler qualquer arquivo do computador, listar os sites visitados pelo usuário, tirar capturas de tela e agir como o próprio usuário.
A Perplexity havia bloqueado extensões em sua página principal, então a Forever Security utilizou um endereço de teste remanescente, testing.perplexity.com, que não tinha as mesmas restrições.
O Claude no Chrome foi o caso mais leve, e a Forever Security afirmou isso diretamente. "Claude in Chrome é uma extensão de navegador, não um navegador", escreveu a empresa, que classificou a descoberta como a menos grave da pesquisa, já que uma extensão estava abusando de outra, e não uma extensão abusando de um navegador. A Anthropic classificou o problema como de gravidade média e pagou uma recompensa.
A Forever Security também disse que a Anthropic a reconheceu como a primeira a relatar a descoberta sobre o Claude. Isso ocorre em paralelo a relatos públicos anteriores sobre o mesmo ponto fraco na extensão.
A empresa de segurança LayerX descreveu uma falha relacionada, chamada ClaudeBleed, em abril, e a Manifold Security relatou em julho que uma brecha semelhante continuava aberta em uma versão posterior. O Edge foi o mais difícil de quebrar, segundo os pesquisadores. A Microsoft havia tentado bloquear o truque com extensões, então a Forever Security combinou duas fraquezas. Ela tomou o controle de uma página de marketing da Microsoft que tinha permissão para enviar comandos à IA do Edge. Em seguida, usou uma falha de temporização, chamada condição de corrida, para alternar o agente entre os modos "pensar" e "agir" no momento certo, fazendo-o executar um comando.
O Opera Neon foi o mais fácil. A IA dele recebia ordens de opera.com, e a Opera não havia impedido que extensões executassem código nessa página, de modo que a extensão podia enviar comandos diretamente. A Forever Security disse que a Opera relatou ter encontrado a mesma falha por conta própria mais ou menos ao mesmo tempo, mas mesmo assim pagou uma recompensa.
Correções e recomendações
Até 16 de setembro de 2026, nenhum dos CVEs estava listado no catálogo de Vulnerabilidades Exploradas Conhecidas dos EUA, e não havia evidência pública de que algum dos cinco métodos tivesse sido usado em um ataque real. Todos eles partem do pressuposto de que o atacante já convenceu o usuário a instalar a extensão, o mesmo ponto de partida de muitos outros ataques a navegadores.
Para os dois produtos com CVE, a correção é atualizar o Chrome para a versão 143.0.7499.192 ou posterior e o Edge para a versão 150.0.4078.48 ou posterior. No caso do Comet, Opera Neon e Claude no Chrome, a Forever Security afirmou que cada fornecedor pagou uma recompensa, mas não informou uma data para corrigir o método exato descrito. Usuários desses três devem manter o software atualizado e revisar as extensões instaladas.
O ponto em comum, segundo a Forever Security, é que colocar um agente de IA dentro do navegador reabre um caminho que os navegadores se esforçam para fechar, permitindo que uma extensão com poucos privilégios alcance uma parte altamente privilegiada do navegador. Outros pesquisadores relataram fragilidades relacionadas em navegadores dirigidos por IA ao longo do último ano.
