Pesquisadores de segurança da Forever Security demonstraram que uma extensão comum de navegador poderia assumir o controle dos assistentes de IA integrados a cinco produtos baseados em Chromium: Gemini Live no Chrome, Perplexity Comet, Microsoft Edge, Opera Neon e a extensão Claude in Chrome.
Depois de instalada, a extensão conseguia acessar a IA nativa de cada produto com um único clique. No Comet, no Edge, no Opera Neon e no Claude in Chrome, ela podia fazer o agente de IA agir em nome do invasor. No Chrome e no Comet, também era possível ler arquivos do computador do usuário. No Chrome, a extensão ainda conseguia ligar a câmera e o microfone.
Os resultados são demonstrações dos pesquisadores, e não ataques observados em ambiente real. Além disso, cada teste exigia que a extensão do invasor já estivesse em execução no navegador da vítima.
Segundo a Forever Security, esses produtos funcionam de maneira semelhante. A IA teria um “corpo” dentro do navegador, capaz de ver a tela, abrir arquivos, usar a câmera e executar ações, e um “cérebro” rodando nos servidores da empresa, responsável por dizer ao corpo o que fazer. Esse corpo só aceita ordens de uma página da web confiável, como gemini.google.com no Chrome ou perplexity.ai no Comet.
Uma extensão, em tese, não deveria conseguir comandar esse corpo. Ela pode alterar páginas da web, mas não controlar o próprio navegador. A técnica usada pela Forever Security foi tomar a página confiável que esse corpo escuta e, por meio dela, enviar comandos diretamente ao agente de IA.
Para isso, a extensão precisava de apenas duas permissões comuns, segundo os pesquisadores: uma que altera páginas da web, usada por bloqueadores de anúncios, e outra chamada declarativeNetRequest, que modifica o tráfego de rede do navegador. Juntas, elas permitiam inserir código na página confiável e falar com a IA como se a solicitação viesse da própria fabricante.
O caso do Chrome não é novo. O pesquisador da Forever Security Gal Weizman havia detalhado publicamente a falha em março, sob o nome GlicJack, e o Google corrigiu o problema no início de janeiro de 2026, na versão 143.0.7499.192 do Chrome. O problema é acompanhado como
CVE-2026-0628
e recebeu nota 8,8 de 10 da agência de cibersegurança CISA, dos Estados Unidos, que atribuiu a pontuação porque o NIST ainda não o fez.
Os outros quatro casos foram acrescentados por Weizman neste ano. Usando a mesma abordagem, a Forever Security disse ter alcançado a IA integrada no Comet, no Edge, no Opera Neon e no Claude in Chrome. Apenas a descoberta no Edge recebeu um CVE, o
CVE-2026-55945
, uma falha de menor gravidade, classificada com 4,2, que a Microsoft corrigiu no Edge 150.0.4078.48 em 2 de julho.
As descobertas sobre Comet, Opera Neon e Claude não têm CVE e se baseiam apenas no relato da própria Forever Security. A empresa afirmou ter recebido cerca de US$ 20.000 em recompensas de bug bounty pelos cinco produtos, embora os valores por produto somem US$ 20.500.
A Forever Security listou o que cada ataque poderia fazer.
| Capacidade | Chrome | Comet | Edge | Opera Neon | Claude in Chrome |
| --- | --- | --- | --- | --- | --- |
| Ler arquivos locais | Sim | Sim | Não | Não | Não |
| Câmera e microfone | Sim | Não | Não | Não | Não |
| Controlar o agente de IA | Não | Sim | Sim | Sim | Sim |
| Vazamento do perfil do navegador | Sim | Sim | Não | Não | Não |
| Vazamento do histórico de navegação | Não | Sim | Não | Não | Não |
| Capturar telas | Sim | Sim | Não | Não | Não |
| Sem necessidade de cliques | Sim | Sim | Sim | Sim | Sim |
| CVE |
CVE-2026-0628
| Nenhum |
CVE-2026-55945
| Nenhum | Nenhum |
| Recompensa paga | US$ 7.000 | US$ 7.000 | US$ 5.000 | US$ 900 | US$ 600 |
O pior cenário, segundo os pesquisadores, foi o Comet. A Perplexity criou o Comet como um navegador totalmente orientado por IA, então seu agente tinha amplos poderes. Depois de sequestrado, ele podia ler qualquer arquivo no computador, listar os sites visitados pelo usuário, capturar telas e agir como se fosse o próprio usuário.
A Perplexity havia bloqueado extensões em sua página principal, então a Forever Security usou um endereço de teste remanescente, testing.perplexity.com, que não estava protegido da mesma forma.
O caso do Claude in Chrome foi o mais leve, e a Forever Security afirmou isso de forma direta. “Claude in Chrome é uma extensão de navegador, não um navegador”, escreveu a empresa, classificando a descoberta como a menos grave da pesquisa, porque uma extensão estava abusando de outra extensão, e não de um navegador. A Anthropic considerou o caso de severidade média e pagou recompensa.
A Forever Security também disse que a Anthropic a reconheceu como a primeira a reportar a falha do Claude. Isso se soma a relatos públicos anteriores sobre o mesmo ponto fraco na extensão.
A empresa de segurança LayerX descreveu uma falha relacionada, chamada ClaudeBleed, em abril, e a Manifold Security informou em julho que uma brecha semelhante ainda permanecia aberta em uma versão posterior.
O Edge foi o mais difícil de explorar, segundo os pesquisadores. A Microsoft havia tentado bloquear a técnica da extensão, então a Forever Security combinou duas fraquezas. Primeiro, assumiu uma página de marketing da Microsoft autorizada a enviar prompts para a IA do Edge. Depois, usou uma falha de temporização, chamada race condition, para alternar o agente entre os modos “pensar” e “agir” no momento certo, fazendo com que ele executasse um prompt.
O Opera Neon foi o mais fácil. Sua IA recebia ordens de opera.com, e a Opera não havia impedido que extensões executassem código nessa página, o que permitia à extensão enviar comandos diretamente. A Forever Security disse que a Opera identificou a mesma falha por conta própria quase ao mesmo tempo, mas ainda assim pagou uma recompensa.
Em 16 de setembro de 2026, nenhum dos dois CVEs aparecia no catálogo de Vulnerabilidades Conhecidas e Exploradas, dos Estados Unidos, e não havia evidências públicas de uso real de qualquer uma das cinco técnicas em ataques em ambiente real. Todos os casos dependem de o invasor já ter induzido o usuário a instalar a extensão, o mesmo ponto de partida de muitos outros ataques a navegadores.
Nos dois produtos com CVE, a correção é atualizar o Chrome para a versão 143.0.7499.192 ou posterior e o Edge para a versão 150.0.4078.48 ou posterior. Para Comet, Opera Neon e Claude in Chrome, a Forever Security disse que cada fabricante pagou recompensa, mas não informou uma data para a correção exata da técnica descrita. Usuários desses três produtos devem manter o software atualizado e revisar as extensões instaladas.
O ponto em comum, segundo a Forever Security, é que colocar um agente de IA dentro do navegador reabre um caminho que os navegadores tentam fechar, permitindo que uma extensão com poucos privilégios alcance uma parte do navegador com mais privilégios. Outros pesquisadores já relataram fraquezas relacionadas em navegadores orientados por IA ao longo do último ano.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...