BragJack: un'estensione malevola dirotta cinque agenti AI nei browser Chromium

Gal Weizman di Forever Security ha divulgato BragJack, una proof-of-concept che sfrutta l'API declarativeNetRequest di Chromium per prendere il controllo di agenti AI integrati in cinque browser diversi. La ricerca, resa pubblica il 16 settembre 2026, dimostra che l'installazione di un'estensione apparentemente innocua basta a esporre Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon e Claude in Chrome a manipolazioni senza ulteriore interazione dell'utente. Il risultato mette in crisi il presupposto architetturale su cui si stanno costruendo i nuovi assistenti AI nel browser: la separazione tra il modello remoto e il componente locale che esegue azioni.

Come funziona l'attacco: il canale DNR come vettore privilegiato

BragJack sfrutta un'intenzione architetturale di Chromium. L'API declarativeNetRequest (DNR) permette alle estensioni di intercettare e modificare il traffico HTTP senza richiedere permessi eccezionali. Weizman ha dimostrato che questa capacità, combinata con l'iniezione di script nelle pagine, consente di manipolare le risposte che il browser scambia con i server AI. Il componente "corpo" dell'agente — quello che esegue azioni nel browser con privilegi elevati — riceve istruzioni che interpreta come legittime.

La tecnica centrale è stata denominata Prompt Forcing. Secondo la spiegazione fornita da Weizman a BleepingComputer, "a differenza del prompt injection convenzionale, dove un attaccante cerca di infilare istruzioni malevole in contenuti che l'AI sta già leggendo, il Prompt Forcing permette all'attaccante di consegnare all'agente un intero prompt e le istruzioni successive. L'agente traduce quelle istruzioni in azioni legittime del browser usando i suoi privilegi esistenti". Questo spostamento — dall'inserire istruzioni nascoste al prendere completamente in consegna il flusso di comando — rende l'attacco invisibile alle difese che cercano anomalie nel contenuto.

L'evidence map conferma che l'estensione malevola richiede solo due permissioni standard: la capacità di modificare pagine e l'accesso a declarativeNetRequest. Entrambe sono comuni tra le estensioni legittime. The Hacker News ha verificato che per tutte e cinque le piattaforme testate "non sono necessari clic" dopo l'installazione iniziale.

Impatti differenziati: cinque prodotti, cinque superfici di attacco

La ricerca non ha prodotto una vulnerabilità uniforme. Le capacità ottenute dall'attaccante variano significativamente per prodotto, come documentato dalla tabella comparativa pubblicata da The Hacker News.

Perplexity Comet è risultato il caso più grave. L'estensione malevola può leggere file locali, controllare l'agente AI, esfiltrare cronologia di navigazione e catturare screenshot. Forever Security ha sfruttato per il test un dominio non protetto — testing.perplexity.com — che presentava garanzie di sicurezza inferiori rispetto al sito principale. In Chrome, oltre al controllo dell'agente e alla lettura file locali, l'attacco ottiene accesso a camera e microfono.

Microsoft Edge ha richiesto una complessità aggiuntiva. La separazione Think/Do introdotta da Microsoft — che isola il componente decisionale da quello esecutivo — è stata bypassata attraverso una race condition. L'advisory ufficiale Microsoft per CVE-2026-55945 descrive la vulnerabilità come "Concurrent execution using shared resource with improper synchronization", con vettore CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N. Il punteggio 4.2 riflette l'accesso locale e la complessità dell'attacco, non l'entità potenziale del danno.

Per Claude in Chrome la gravità è minore: un'estensione abusa un'altra estensione, non un componente nativo del browser. Anthropic ha pagato il bounty più basso della serie, 600 dollari. Opera Neon non ha ricevuto CVE ufficiale, e le fonti non specificano se la vulnerabilità sia stata corretta.

Bug bounty e patch: il ritardo sistemico

Forever Security ha ottenuto oltre 20.000 dollari in bug bounty per la ricerca. The Hacker News riporta una somma per prodotto che ammonta a 20.500 dollari, con pagamenti da 600 a 7.000 dollari. Google e Perplexity hanno entrambe versato il massimo, 7.000 dollari, rispettivamente per Chrome e Comet.

"Il filo conduttore comune è che mettere un agente AI dentro il browser riapre un percorso che i browser faticano a chiudere, permettendo a un'estensione a basso privilegio di raggiungere una parte ad alto privilegio del browser." — Forever Security (via The Hacker News)

Le patch confermate arrivano da due vendor. Google ha corretto Chrome nella versione 143.0.7499.192, con fix risalente a gennaio 2026 secondo The Hacker News. Microsoft ha rilasciato la versione 150.0.4078.48 di Edge il 2 luglio 2026. Per Comet, Opera Neon e Claude in Chrome non emergono date di correzione nelle fonti disponibili. Questa discontinuità è significativa: il problema sistemico — la superficie di attacco DNR come canale di controllo — non è stato affrontato nell'architettura condivisa di Chromium.

Cosa fare adesso

• Verificare le estensioni installate nei browser aziendali, con attenzione particolare a quelle che richiedono i permessi "declarativeNetRequest" e "accesso ai dati di tutti i siti web". Queste due permissioni combinate costituiscono il prerequisito esatto dell'attacco BragJack.
• Privilegiare l'installazione di estensioni solo da store ufficiali con verifica editoriale attiva, riconoscendo che questo filtro non è sufficiente: l'attacco dimostrato parte da un'estensione già installata, non necessariamente malevola al momento del download.
• Valutare la separazione tra ambienti di navigazione generici e quelli che ospitano agenti AI con privilegi estesi, in particolare dove l'agente ha accesso a file locali, camera o microfono.
• Monitorare le versioni di Chrome e Edge per confermare l'applicazione delle patch 143.0.7499.192 e 150.0.4078.48, e richiedere chiarimenti a Perplexity, Opera e Anthropic sullo stato delle correzioni per i rispettivi prodotti.

Perché il modello di fiducia del browser non regge più

BragJack non è un exploit di zero-day nel senso tradizionale. Sfrutta un permesso esistente, documentato, ampiamente concesso. Il problema è che l'integrazione degli agenti AI ha cambiato il valore di ciò che quel permesso permette di raggiungere. Un'estensione che intercetta traffico HTTP era finora una minaccia alla privacy o al furto di credenziali. Ora può diventare un vettore per l'esecuzione di azioni complesse — trasferimenti, modifiche documenti, sorveglianza ambientale — attraverso un intermediario AI che il sistema considera fidato.

La race condition in Edge è particolarmente instructiva. Microsoft aveva riconosciuto il rischio architetturale e tentato di mitigarlo con la separazione Think/Do. Il bypass dimostra che le garanzie strutturali non resistono se il canale di comunicazione tra i due componenti non è protetto contro la manipolazione temporizzata. La lezione si estende oltre i singoli vendor: qualsiasi browser che implementi un agente AI con componente esecutivo locale eredita la stessa tensione tra flessibilità e controllo.

Le fonti non documentano exploit in-the-wild al 16 settembre 2026. Questo non attenua la rilevanza della proof-of-concept. Gli attori malevoli che operano con estensioni browser — documentati in campagne come quella del malware KREMLIN riportata separatamente da Elastic — dispongono già dell'infrastruttura di distribuzione. L'aggiunta di Prompt Forcing come tecnica di comando e controllo non richiede capacità sofisticate aggiuntive, solo l'adattamento del payload all'API dell'agente target.

Domande frequenti

Perché solo Chrome e Edge hanno ricevuto CVE ufficiali?

Il processo CVE assegna identificatori attraverso i CNA (CVE Numbering Authority) dei singoli vendor. Google e Microsoft hanno CNA propri e hanno riconosciuto formalmente le vulnerabilità. Per Comet, Opera Neon e Claude in Chrome non emergono assegnazioni CVE nelle fonti disponibili, senza che questo impliciti che i prodotti siano immuni.

L'attacco richiede che la vittima installi un'estensione malevola: non è un vettore limitato?

La limitazione è reale ma non rassicurante. Le campagne di distribuzione di estensioni malevole sono documentate e attive. Il punto qualitativo di BragJack è che, una volta superata quella barriera iniziale, l'attacco non richiede ulteriore interazione né competenze tecniche avanzate. L'estensione opera in background sfruttando permessi già concessi.

La patch di Chromium risolve il problema per tutti i browser basati sul progetto?

No. Chrome ha ricevuto patch nel gennaio 2026, ma Opera Neon — anch'esso basato su Chromium — non ha dichiarata correzione nelle fonti. Inoltre la vulnerabilità Edge (CVE-2026-55945) è specifica dell'implementazione Microsoft. La superficie di attacco DNR persiste nell'architettura condivisa, e ogni vendor che integri un agente AI deve valutare autonomamente l'esposizione.

Fonti

• https://www.bleepingcomputer.com/news/security/bragjack-attacks-hijack-ai-browser-agents-through-malicious-extensions/
• https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html
• https://thehackernews.com/2026/09/kremlin-banking-malware-hijacks-chrome.html
• https://www.elastic.co/security-labs/threat-command/malicious-browser-extension-kremlin-banking-malware
• https://daily.dev/posts/bragjack-attacks-hijack-ai-browser-agents-through-malicious-extensions-tgnh2pcif
• https://www.techrepublic.com/article/ai-expansion-robot-factories-and-escalating-security-threats-define-this-week-in-tech/
• https://nvd.nist.gov/vuln/detail/CVE-2026-0628
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55945
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti