Un investigador de seguridad ha descubierto una técnica capaz de secuestrar los asistentes de inteligencia artificial integrados en los navegadores más usados con una sola extensión maliciosa. Bautizada como BragJack, la vulnerabilidad afecta a Google Chrome, Microsoft Edge, Perplexity Comet, Opera Neon y Claude in Chrome, y permite a un atacante controlar el agente de IA sin que la víctima intervenga. Google y Microsoft ya han corregido los fallos que se les asignaron.
El hallazgo es obra de Gal Weizman, de Forever Security, que ha documentado la prueba de concepto contra las cinco plataformas y ha recibido más de 20.000 dólares en recompensas por errores, repartidas entre 600 y 7.000 dólares según el proveedor. La investigación ha generado dos CVE oficiales. El ataque exige que la extensión maliciosa esté ya instalada en el navegador de la víctima, pero una vez dentro puede operar sin que el usuario haga nada: toma el control del agente de IA y abusa de sus privilegios existentes para acceder a información sensible o actuar en su nombre.
Un componente malicioso engaña al asistente de IA
Weizman describe estos sistemas como una combinación de cerebro y cuerpo. El modelo de IA procesa las instrucciones y decide qué debe ocurrir, mientras que un componente privilegiado del navegador ejecuta esas acciones: abrir pestañas, leer contenido, hacer capturas de pantalla o interactuar con páginas web. El problema, según el investigador, es que las extensiones pueden manipular el tráfico y las páginas en las que esos componentes privilegiados confían ciegamente.
La misma extensión sirvió para atacar a los cinco objetivos apoyándose en la función declarativeNetRequest (DNR) de Chromium, que permite modificar cómo se gestionan las solicitudes de red, incluidas cabeceras de respuesta y redirecciones. En Chrome, aunque las extensiones no pueden tocar el componente privilegiado chrome://glic ni inyectar scripts en el sitio de Gemini, las reglas DNR interceptaron las peticiones de la aplicación web de Gemini incrustada. Debilitando las cabeceras de seguridad y redirigiendo un recurso JavaScript, Weizman ejecutó código dentro del contexto de Gemini y se comunicó directamente con el componente privilegiado de IA, evitando el flujo normal de peticiones. El acceso resultante permitía leer archivos locales, llegar a contenido web, tomar capturas y, potencialmente, acceder a cámara y micrófono. Google asignó a este hallazgo el CVE-2026-0628 y pagó 7.000 dólares.
Comet y Edge: cuando el agente no solo lee, también actúa
Los ataques contra navegadores agénticos como Perplexity Comet y Opera Neon van más allá, porque sus agentes pueden actuar sobre las páginas web, no solo leerlas. En Comet, la extensión del agente integrado confiaba en varios dominios de Perplexity, entre ellos uno de pruebas que no recibía las mismas protecciones que perplexity.ai. Al eliminar una redirección hacia ese dominio con DNR, Weizman logró cargarlo e inyectar un script capaz de comunicarse con el agente. El acceso obtenido incluía historial de navegación, capturas de pantalla, archivos locales y la posibilidad de enviar instrucciones al propio agente: en su demostración, forzó al asistente a visitar Perplexity, resumir los correos de la víctima y enviar el resultado a otra dirección.
Microsoft Edge planteó un reto distinto: su agente estaba dividido en modos Think y Do para evitar recibir instrucciones y ejecutar acciones a la vez. Weizman encontró una condición de carrera que desactiva brevemente esa restricción mientras fuerza una instrucción, y reactiva la capacidad de acción antes de que el agente compruebe su estado. Microsoft asignó a este fallo el CVE-2026-55945. Se demostraron debilidades similares en Opera Neon y en Claude in Chrome, aunque este último es una extensión y no un navegador completo.
Qué pueden hacer los usuarios frente a esta amenaza
Weizman llama a la técnica empleada Prompt Forcing. A diferencia de la inyección de prompts convencional, donde el atacante intenta colar instrucciones maliciosas en contenido que la IA ya está leyendo, aquí el atacante entrega al agente un prompt completo junto con las instrucciones de seguimiento, y el agente las traduce en acciones legítimas del navegador usando sus propios privilegios. Eso complica la detección en los endpoints: la acción final no la ejecuta un código malicioso reconocible, sino software legítimo al que se le ha ordenado actuar.
BragJack apunta a un desafío que crecerá a medida que los navegadores y otras aplicaciones incorporen agentes de IA más capaces. Una extensión comprometida que tradicionalmente solo veía contenido web puede convertirse, con este tipo de diseño, en una vía para leer archivos, historial de navegación y ejecutar acciones en nombre del usuario. Os recomendamos mantener los navegadores actualizados, eliminar las extensiones que no reconozcáis o ya no uséis, y desconfiar de los avisos de permisos que pidan leer y modificar todos los datos en todas las páginas web. Weizman ha publicado además un desglose técnico completo de los cinco ataques.