Un'estensione può dirottare gli assistenti AI in cinque browser

I ricercatori di sicurezza di Forever Security hanno dimostrato che una comune estensione del browser può dirottare gli assistenti AI integrati in cinque prodotti basati su Chromium: Gemini Live in Chrome, Perplexity Comet, Microsoft Edge, Opera Neon e l'estensione Claude in Chrome. Una volta installata l'estensione, secondo i ricercatori, questa poteva accedere all'AI integrata di ciascun prodotto con un solo clic. Su Comet, Edge, Opera Neon e Claude in Chrome, poteva spingere l'agente AI ad agire per conto di un attaccante. Su Chrome e Comet, poteva leggere file dal computer dell'utente, e su Chrome poteva anche accendere fotocamera e microfono. Si tratta di dimostrazioni dei ricercatori, non di attacchi osservati sul campo, e ciascuna richiede che l'estensione dell'attaccante sia già in esecuzione nel browser della vittima.

Tutti e cinque i prodotti funzionano secondo lo stesso modello di base, secondo Forever Security. L'AI ha un 'corpo' all'interno del browser che può vedere lo schermo, aprire file, usare la fotocamera e compiere azioni, e un 'cervello' separato che gira sui server dell'azienda e dice al corpo cosa fare. Il corpo è progettato per ricevere ordini da una sola pagina web fidata, come gemini.google.com per Chrome o perplexity.ai per Comet. Un'estensione del browser non dovrebbe comandare quel corpo, perché un'estensione può modificare le pagine web ma non può controllare il browser stesso. Il metodo di Forever Security è stato impadronirsi della pagina fidata che il corpo ascolta e, attraverso di essa, inviare al corpo i propri comandi. L'estensione necessitava solo di due permessi comuni: uno che modifica le pagine web, usato dagli ad blocker, e uno chiamato declarativeNetRequest che cambia il modo in cui il browser invia e riceve il traffico di rete. Insieme permettevano all'estensione di inserire il proprio codice nella pagina fidata e di parlare all'AI come se fosse il fornitore.

Il caso di Chrome non è nuovo. Il ricercatore di Forever Security Gal Weizman lo ha descritto pubblicamente per la prima volta a marzo come GlicJack, e Google lo ha corretto all'inizio di gennaio 2026 nella versione di Chrome 143.0.7499.192. È tracciato come CVE-2026-0628 e valutato 8,8 su 10 dall'agenzia per la cybersicurezza statunitense CISA, che ha assegnato il punteggio perché il National Institute of Standards and Technology non lo ha fatto. Gli altri quattro risultati sono ciò che Weizman ha aggiunto quest'anno. Usando la stessa idea, Forever Security ha detto di aver raggiunto l'AI integrata in Comet, Edge, Opera Neon e Claude in Chrome. Solo il risultato su Edge ha ricevuto un CVE, CVE-2026-55945, un problema di gravità inferiore valutato 4,2 che Microsoft ha corretto nella versione di Edge 150.0.4078.48 il 2 luglio. I risultati su Comet, Opera Neon e Claude non hanno un CVE e si basano sul resoconto di Forever Security stessa. L'azienda ha detto di aver guadagnato circa 20.000 dollari in bug bounty tra i cinque prodotti, anche se le sue cifre per singolo prodotto sommano a 20.500 dollari.

Forever Security ha elencato cosa poteva fare ciascun attacco. Comet è stato il caso peggiore, secondo i ricercatori. Perplexity ha costruito Comet come un browser completamente guidato dall'AI, quindi il suo agente aveva ampi poteri: una volta dirottato, poteva leggere qualsiasi file sul computer, elencare i siti visitati dall'utente, fare screenshot e agire come l'utente. Perplexity aveva bloccato le estensioni dalla sua pagina principale, così Forever Security ha usato un indirizzo di test rimasto attivo, testing.perplexity.com, che non era protetto allo stesso modo. Claude in Chrome è stato il caso più lieve. 'Claude in Chrome è un'estensione del browser, non un browser', ha scritto l'azienda, definendo il risultato il meno grave perché un'estensione stava abusando di un'altra anziché un'estensione abusare di un browser. Anthropic lo ha valutato di gravità media e ha pagato un bounty. Forever Security ha anche detto che Anthropic l'ha indicata come la prima a segnalare il risultato su Claude, mentre precedenti rapporti pubblici di LayerX (ClaudeBleed, aprile) e Manifold Security (luglio) descrivevano lacune simili in versioni successive. Edge è stato il più difficile da violare. Microsoft aveva cercato di bloccare il trucco dell'estensione, così Forever Security ha combinato due debolezze: ha preso il controllo di una pagina marketing di Microsoft autorizzata a inviare prompt all'AI di Edge, poi ha usato una race condition per far passare l'agente tra le sue modalità 'pensare' e 'agire' al momento giusto, inducendolo a eseguire un prompt. Opera Neon è stato il più facile. La sua AI riceveva ordini da opera.com, e Opera non aveva impedito alle estensioni di eseguire codice su quella pagina, così un'estensione poteva inviare comandi direttamente. Forever Security ha detto che Opera ha segnalato di aver trovato lo stesso difetto per conto proprio più o meno nello stesso periodo, ma ha comunque pagato un premio.

Al 16 settembre 2026, nessuno dei due CVE era elencato nel catalogo statunitense Known Exploited Vulnerabilities, e nessuna prova pubblica mostrava che uno dei cinque metodi fosse usato in un attacco reale. Ognuno di essi presuppone che l'attaccante abbia già convinto l'utente a installare l'estensione, lo stesso punto di partenza di molti altri attacchi al browser. Per i due prodotti con un CVE, la soluzione è aggiornare Chrome alla versione 143.0.7499.192 o successiva ed Edge alla versione 150.0.4078.48 o successiva. Per Comet, Opera Neon e Claude in Chrome, Forever Security ha detto che ciascun fornitore ha pagato un premio ma non ha indicato una data per correggere il metodo esatto descritto. Gli utenti di questi tre dovrebbero assicurarsi che il loro software sia aggiornato e rivedere le estensioni installate.

Il filo conduttore, secondo Forever Security, è che inserire un agente AI nel browser riapre un percorso che i browser si sforzano di chiudere, permettendo a un'estensione con privilegi bassi di raggiungere una parte del browser con privilegi elevati. Altri ricercatori hanno segnalato debolezze correlate nei browser guidati dall'AI nell'ultimo anno. Per i team che si affidano a strumenti e estensioni basati sul browser in un'azienda, AEU-I offre consulenza IT e infrastrutturale orientata alla sicurezza, che può aiutare a rivedere e ridurre la superficie di attacco descritta da questi risultati.