A Forever Security biztonsági kutatói kimutatták, hogy egyetlen, átlagos böngészőbővítmény átveheti az irányítást öt Chromium-alapú termék beépített AI-asszisztensei felett: a Gemini Live felett Chrome-ban, a Perplexity Cometben, a Microsoft Edge-ben, az Opera Neonban és a Claude in Chrome bővítményben.

Ha a bővítményt telepítették, egyetlen kattintással hozzáfért az egyes termékek beépített AI-jához. Comet, Edge, Opera Neon és Claude in Chrome alatt rá tudta venni az AI-ügynököt, hogy a támadó nevében cselekedjen; Chrome-ban és Cometben a felhasználó gépén lévő fájlokat is el tudta olvasni, Chrome-ban pedig a kamerát és a mikrofont is be tudta kapcsolni.

A mostani eredmények kutatói demonstrációk, nem a vadonban megfigyelt támadások, és mindegyikhez az kell, hogy a támadó bővítménye már fusson az áldozat böngészőjében.

A termékek működési elve azonos. Az AI-nak van egy „teste” a böngészőben, amely látja a képernyőt, meg tud nyitni fájlokat, használja a kamerát és műveleteket hajt végre, és van egy „agya”, amely a cég szerverein fut, és utasításokat ad a testnek – írja a Forever Security. A test csak egyetlen megbízható weboldaltól fogad parancsot, például a gemini.google.com-tól Chrome esetén vagy a perplexity.ai-tól Comet alatt.

Egy bővítmény elvileg nem utasíthatja ezt a testet. A weboldalakat módosíthatja, de magát a böngészőt nem irányíthatja. A Forever Security módszere az volt, hogy átvegye az irányítást a megbízható oldal felett, amelyre a test hallgat, és ezen keresztül küldje el a saját parancsait.

A kutatók szerint a bővítménynek csak két, gyakran használt jogosultságra volt szüksége: az egyik a weboldalak módosítására szolgál, ilyet használnak a reklámblokkolók is, a másik pedig a declarativeNetRequest, amely a böngésző hálózati forgalmát módosítja. A kettő együtt lehetővé tette, hogy a bővítmény becsempéssze a saját kódját a megbízható oldalba, és úgy kommunikáljon az AI-jal, mintha maga a gyártó lenne.

A Chrome-eset nem új. A Forever Security kutatója, Gal Weizman már márciusban részletesen bemutatta GlicJack néven, a Google pedig 2026 januárjának elején javította a Chrome 143.0.7499.192-es verziójában. A hibát CVE-2026-0628 azonosítóval tartják nyilván, és az amerikai kiberbiztonsági ügynökség, a CISA 10-ből 8,8-as súlyosságúnak minősítette, mivel a Nemzeti Szabványügyi és Technológiai Intézet még nem adott rá pontszámot.

A másik négy eset Weizman idei kiegészítése. Ugyanarra az ötletre építve a Forever Security szerint elérte a beépített AI-t Cometben, Edge-ben, Opera Neonban és a Claude in Chrome bővítményben is. A négy közül csak az Edge-hez tartozik CVE-azonosító, a CVE-2026-55945, egy alacsonyabb súlyosságú, 4,2-es problémát jelöl, amelyet a Microsoft az Edge 150.0.4078.48-as verziójában javított július 2-án.

A Cometnél, az Opera Neonnál és a Claude-nál talált hibákhoz nem tartozik CVE-azonosító, ezekről csak a Forever Security beszámolója alapján tudunk. A cég közölte, hogy az öt termék után összesen nagyjából 20 000 dollárnyi bug bounty jutalmat kapott, bár a termékenkénti összegek összeadva 20 500 dollárt tesznek ki.

A Forever Security felsorolta, hogy az egyes támadások mire voltak képesek.

A kutatók szerint a Comet bizonyult a legrosszabb esetnek. A Perplexity teljesen AI-vezérelt böngészőként építette a Cometet, ezért az ügynök nagyon széles jogosultságokat kapott: ha sikerült átvenni felette az irányítást, bármilyen fájlt elolvashatott a gépen, kilistázhatta a felkeresett webhelyeket, képernyőképeket készíthetett, és a felhasználó nevében cselekedhetett.

Mivel a Perplexity letiltotta a bővítményeket a főoldaláról, a Forever Security egy megmaradt tesztcímet, a testing.perplexity.com-ot használta, amelyet nem zártak le ugyanúgy.

A Claude in Chrome bizonyult a legenyhébb esetnek, és a Forever Security ezt egyenesen le is írta. „A Claude in Chrome egy böngészőbővítmény, nem böngésző” – fogalmazott a cég, és a kutatás legkevésbé súlyos eredményének nevezte, mert itt egy bővítmény élt vissza egy másikkal, nem pedig egy bővítmény egy teljes böngészővel. Az Anthropic közepes súlyosságúnak minősítette a hibát, és bug bounty jutalmat fizetett érte.

A Forever Security azt is közölte, hogy az Anthropic szerint ők jelentették elsőként a Claude-hibát. Ez korábbi nyilvános beszámolók mellé kerül ugyanarról a gyenge pontról a bővítményben.

A LayerX biztonsági cég áprilisban írt le egy kapcsolódó hibát ClaudeBleed néven, a Manifold Security pedig júliusban számolt be arról, hogy egy hasonló rés továbbra is nyitva maradt egy későbbi verzióban. A kutatók szerint az Edge bizonyult a legnehezebben kihasználhatónak. A Microsoft megpróbálta blokkolni a bővítményes trükköt, ezért a Forever Security két gyengeséget kombinált. Először átvett egy Microsoft marketingoldalt, amely jogosult volt parancsokat küldeni az Edge AI-nak. Ezután egy időzítési hibát, úgynevezett race conditiont használt ki, hogy a megfelelő pillanatban váltogassa az ügynök „gondolkodó” és „cselekvő” módját, így végül sikerült végrehajtatni vele egy promptot.

Az Opera Neon volt a legegyszerűbb célpont. A beépített AI az opera.com-ról érkező utasításokat fogadta, és az Opera nem tiltotta le, hogy a bővítmények kódot futtassanak ezen az oldalon, így a bővítmény közvetlenül továbbíthatta a parancsokat. A Forever Security szerint az Opera nagyjából ugyanebben az időben saját maga is azonosította ugyanezt a hibát, de ennek ellenére kifizette a jutalmat.

2026. szeptember 16-án egyik CVE sem szerepelt az amerikai Known Exploited Vulnerabilities katalógusban, és nem volt nyilvános bizonyíték arra, hogy az öt módszer bármelyikét valódi támadásban használták volna. Mindegyik abból indul ki, hogy a támadó már rávette a felhasználót a bővítmény telepítésére – ugyanebből a helyzetből indul sok más böngészős támadás is.

A két, CVE-vel érintett termék esetében a javítás az, ha a Chrome-ot legalább a 143.0.7499.192-es, az Edge-et pedig legalább a 150.0.4078.48-as verzióra frissítik. A Comet, az Opera Neon és a Claude in Chrome esetében a Forever Security szerint mindegyik gyártó kifizette a jutalmat, de nem közöltek dátumot arra, mikor javítják pontosan a leírt módszert. A három termék felhasználóinak érdemes ellenőrizniük, hogy naprakész-e a szoftverük, és átnézniük a telepített bővítményeket.

A közös pont a Forever Security szerint az, hogy ha AI-ügynök kerül a böngészőbe, az újra megnyit egy olyan utat, amelyet a böngészők nagy erőkkel próbálnak lezárni: lehetővé teszi, hogy egy alacsony jogosultságú bővítmény elérje a böngésző magas jogosultságú részeit. Más kutatók az elmúlt évben már beszámoltak hasonló gyengeségekről az AI-alapú böngészőkben.