Eine einzige Erweiterung kann KI-Assistenten in fünf Browsern übernehmen
Sicherheitsforscher von Forever Security haben gezeigt, dass eine gewöhnliche Browser-Erweiterung die integrierten KI-Assistenten in fünf Chromium-basierten Produkten übernehmen kann: Gemini Live in Chrome, Perplexity Comet, Microsoft Edge, Opera Neon und die Claude-in-Chrome-Erweiterung. Sobald die Erweiterung installiert war, so die Forscher, konnte sie mit einem einzigen Klick auf die integrierte KI jedes Produkts zugreifen. Bei Comet, Edge, Opera Neon und Claude in Chrome konnte sie den KI-Agenten dazu bringen, im Namen eines Angreifers zu handeln. Bei Chrome und Comet konnte sie Dateien vom Computer des Nutzers lesen, und bei Chrome konnte sie auch Kamera und Mikrofon einschalten. Die Ergebnisse sind Forscher-Demonstrationen, keine in freier Wildbahn beobachteten Angriffe, und jeder erfordert, dass die Erweiterung des Angreifers bereits im Browser des Opfers läuft.
Alle fünf Produkte funktionieren nach demselben Grundmodell, so Forever Security. Die KI hat einen 'Körper' im Browser, der den Bildschirm sehen, Dateien öffnen, die Kamera nutzen und Aktionen ausführen kann, und ein separates 'Gehirn', das auf den Servern des Unternehmens läuft und dem Körper sagt, was er tun soll. Der Körper ist so konzipiert, dass er nur von einer vertrauenswürdigen Webseite Befehle annimmt, etwa gemini.google.com für Chrome oder perplexity.ai für Comet. Eine Browser-Erweiterung soll diesen Körper nicht steuern können, denn eine Erweiterung kann Webseiten verändern, aber nicht den Browser selbst kontrollieren. Die Methode von Forever Security bestand darin, die vertrauenswürdige Seite zu übernehmen, auf die der Körper hört, und durch sie dem Körper eigene Befehle zu senden. Die Erweiterung brauchte nur zwei gängige Berechtigungen: eine, die Webseiten verändert, wie sie Werbeblocker nutzen, und eine namens declarativeNetRequest, die ändert, wie der Browser Netzwerkverkehr sendet und empfängt. Zusammen ermöglichten sie der Erweiterung, eigenen Code in die vertrauenswürdige Seite einzuschleusen und mit der KI zu sprechen, als wäre sie der Anbieter.
Der Chrome-Fall ist nicht neu. Der Forever-Security-Forscher Gal Weizman beschrieb ihn erstmals im März öffentlich als GlicJack, und Google behob ihn Anfang Januar 2026 in Chrome-Version 143.0.7499.192. Er wird als CVE-2026-0628 geführt und von der US-Cybersicherheitsbehörde CISA mit 8,8 von 10 bewertet, die diese Punktzahl festlegte, weil das National Institute of Standards and Technology dies nicht getan hat. Die anderen vier Funde sind das, was Weizman dieses Jahr hinzugefügt hat. Mit derselben Idee, so Forever Security, erreichte es die integrierte KI in Comet, Edge, Opera Neon und Claude in Chrome. Nur der Edge-Fund erhielt eine CVE, CVE-2026-55945, ein Problem mit geringerer Schwere, bewertet mit 4,2, das Microsoft am 2. Juli in Edge-Version 150.0.4078.48 behob. Die Funde zu Comet, Opera Neon und Claude haben keine CVE und stützen sich auf Forever Securitys eigene Darstellung. Das Unternehmen gab an, etwa 20.000 US-Dollar an Bug-Bounties über die fünf Produkte hinweg verdient zu haben, obwohl seine Einzelbeträge pro Produkt 20.500 US-Dollar ergeben.
Forever Security listete auf, was jeder Angriff bewirken konnte. Comet war der schlimmste Fall, so die Forscher. Perplexity baute Comet als vollständig KI-gesteuerten Browser, daher hatte sein Agent weitreichende Befugnisse: einmal übernommen, konnte er jede Datei auf dem Computer lesen, die vom Nutzer besuchten Seiten auflisten, Screenshots machen und als der Nutzer handeln. Perplexity hatte Erweiterungen von seiner Hauptseite blockiert, daher nutzte Forever Security eine übrig gebliebene Testadresse, testing.perplexity.com, die nicht auf dieselbe Weise gesperrt war. Claude in Chrome war der mildeste Fall. 'Claude in Chrome ist eine Browser-Erweiterung, kein Browser', schrieb das Unternehmen, und nannte den Fund den am wenigsten schwerwiegenden, weil eine Erweiterung eine andere missbrauchte statt eine Erweiterung einen Browser. Anthropic stufte ihn als mittelschwer ein und zahlte eine Prämie. Forever Security gab außerdem an, Anthropic habe es als ersten Melder des Claude-Funds benannt, während frühere öffentliche Berichte von LayerX (ClaudeBleed, April) und Manifold Security (Juli) ähnliche Lücken in späteren Versionen beschrieben. Edge war am schwersten zu knacken. Microsoft hatte versucht, den Erweiterungstrick zu blockieren, daher kombinierte Forever Security zwei Schwächen: Es übernahm eine Microsoft-Marketingseite, die berechtigt war, Eingabeaufforderungen an die Edge-KI zu senden, und nutzte dann eine Race Condition, um den Agenten im richtigen Moment zwischen seinen Modi 'Denken' und 'Handeln' umzuschalten, wodurch er eine Eingabeaufforderung ausführte. Opera Neon war am einfachsten. Seine KI nahm Befehle von opera.com entgegen, und Opera hatte nicht verhindert, dass Erweiterungen Code auf dieser Seite ausführen, sodass eine Erweiterung Befehle direkt durchsenden konnte. Forever Security gab an, Opera habe gemeldet, dieselbe Schwäche zur etwa gleichen Zeit selbst gefunden zu haben, aber trotzdem eine Belohnung gezahlt.
Stand 16. September 2026 war keine der beiden CVEs im US-Katalog der bekannten ausgenutzten Schwachstellen aufgeführt, und es gab keine öffentlichen Beweise dafür, dass eine der fünf Methoden in einem echten Angriff verwendet wurde. Jede von ihnen setzt voraus, dass der Angreifer den Nutzer bereits dazu gebracht hat, die Erweiterung zu installieren, derselbe Ausgangspunkt wie bei vielen anderen Browser-Angriffen. Für die beiden Produkte mit einer CVE besteht die Lösung darin, Chrome auf Version 143.0.7499.192 oder neuer und Edge auf Version 150.0.4078.48 oder neuer zu aktualisieren. Für Comet, Opera Neon und Claude in Chrome gab Forever Security an, dass jeder Anbieter eine Belohnung zahlte, aber kein Datum für die Behebung der genau beschriebenen Methode nannte. Nutzer dieser drei sollten sicherstellen, dass ihre Software aktuell ist, und die installierten Erweiterungen überprüfen.
Der gemeinsame Nenner, so Forever Security, ist, dass ein KI-Agent im Browser einen Weg wieder öffnet, den Browser mit großem Aufwand zu schließen versuchen, sodass eine Erweiterung mit geringen Rechten einen Teil des Browsers mit hohen Rechten erreichen kann. Andere Forscher haben im vergangenen Jahr verwandte Schwächen in KI-gesteuerten Browsern gemeldet. Für Teams, die browserbasierte Tools und Erweiterungen in einem Unternehmen nutzen, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung, die helfen kann, die von diesen Funden beschriebene Angriffsfläche zu überprüfen und zu verringern.