Uma extensão maliciosa pode sequestrar assistentes de IA em Chrome, Comet, Edge, Opera Neon e Claude
Pesquisador demonstrou que extensões de navegador com permissões triviais (as mesmas usadas por bloqueadores de anúncios) conseguem injetar comandos falsos nos assistentes de IA embutidos em cinco navegadores diferentes. O truque explora a separação entre o "corpo" do assistente, que roda no navegador e tem acesso a câmera, arquivos e tela, e o "cérebro", que fica nos servidores do fabricante e só deveria obedecer à página oficial do serviço. Chrome e Edge já receberam CVEs e correções; Comet, Opera Neon e Claude in Chrome permanecem sem CVE atribuído.
A pesquisa, conduzida por Gal Weizman da Forever Security, parte de uma observação simples: assistentes de IA integrados a navegadores como Gemini Live, Comet, Copilot no Edge, Opera Neon e Claude in Chrome dependem de uma fronteira de confiança entre a página web em que o assistente é ativado e os comandos que ele executa. Essa fronteira é reforçada apenas no lado do conteúdo da página, não no lado da extensão que a renderiza. Uma extensão com permissões banais de modificação de conteúdo, combinada com a API declarativeNetRequest (usada legitimamente por bloqueadores de anúncios para reescrever tráfego de rede), consegue injetar texto ou reescrever respostas dentro do domínio confiável do assistente, fazendo com que o "cérebro" do modelo interprete instruções do atacante como se viessem do próprio usuário.
O impacto varia bastante conforme o produto, porque cada assistente concede um conjunto diferente de capacidades ao seu "corpo" local: o Chrome expõe leitura de arquivos e acesso a câmera/microfone; o Comet permite controlar o próprio agente e ler histórico de navegação; Edge, Opera Neon e Claude in Chrome permitem controlar o agente, mas com superfícies menores. Isso significa que a mesma técnica de injeção pode resultar em exfiltração de arquivos locais, ativação indevida de sensores ou sequestro de ações que o agente executa em nome do usuário, dependendo de qual navegador está sendo atacado.
Do ponto de vista de correção, o quadro é desigual: Google atribuiu CVE-2026-0628 (CVSS 8.8) ao problema no Chrome e já lançou correção na versão 143.0.7499.192; a Microsoft corrigiu o Edge sob CVE-2026-55945 (CVSS 4.2, portanto de menor severidade) na versão 150.0.4078.48. Perplexity (Comet), Opera (Neon) e Anthropic (Claude in Chrome) não receberam identificadores CVE formais, o que dificulta o rastreamento do problema para times de segurança que dependem de feeds de vulnerabilidades para priorizar patches.
O caso importa porque cristaliza um padrão que deve se repetir: à medida que assistentes de IA ganham "mãos" dentro do navegador (câmera, arquivos, controle de abas), o modelo de ameaça deixa de ser só "o site pode manipular o assistente" e passa a incluir qualquer componente com acesso à página, inclusive extensões de terceiros nominalmente inofensivas. Isso amplia enormemente a superfície de ataque de prompt injection indireta, já que o usuário não precisa visitar um site malicioso — basta ter instalada uma extensão comprometida ou maliciosa enquanto usa um site legítimo. Times de segurança que avaliam risco de extensões deveriam passar a considerar interação com agentes de IA como um vetor de escalonamento de privilégio, não apenas roubo de dados de formulário ou cookies.