Se supone que una extensión no puede dar órdenes a ese cuerpo. Puede cambiar las páginas web, pero no controlar el navegador en sí. El método de Forever Security consistió en apoderarse de la página de confianza a la que el cuerpo escucha y, a través de ella, enviarle sus propios comandos.

La extensión solo necesitaba dos permisos comunes, dijeron los investigadores: uno que cambia las páginas web, que utilizan los bloqueadores de anuncios, y otro llamado declarativeNetRequest que cambia el tráfico de red del navegador. Juntos permiten que la extensión deslice su propio código en la página de confianza y hable con la IA como si fuera el proveedor.

El caso de Chrome no es nuevo. El investigador de Forever Security Gal Weizman lo detalló públicamente por primera vez en marzo como GlicJack, y Google lo solucionó a principios de enero de 2026 en la versión 143.0.7499.192 de Chrome. Se rastrea como CVE-2026-0628 y tiene una calificación de 8.8 sobre 10 por la agencia de ciberseguridad de EE. UU. CISA.

Los otros cuatro son los que Weizman añadió este año. Utilizando la misma idea, Forever Security afirmó que llegó a la IA integrada en Comet, Edge, Opera Neon y Claude en Chrome. Solo el hallazgo de Edge recibió un CVE, CVE-2026-55945, un problema de menor gravedad calificado con 4.2 que Microsoft solucionó en la versión 150.0.4078.48 de Edge el 2 de julio.

Los detalles de las recompensas

Los hallazgos de Comet, Opera Neon y Claude no tienen CVE y se basan en el propio informe de Forever Security. La empresa afirmó que ganó unos 20.000 dólares en recompensas por errores (bug bounties) entre los cinco productos.

Forever Security enumeró lo que cada ataque podía hacer:

Capacidad | Chrome | Comet | Edge | Opera Neon | Claude en Chrome
Leer archivos locales: Sí | Sí | No | No | No
Cámara y micrófono: Sí | No | No | No | No
Controlar el agente de IA: No | Sí | Sí | Sí | Sí
Filtrar perfil del navegador: Sí | Sí | No | No | No
Filtrar historial de navegación: No | Sí | No | No | No
Hacer capturas de pantalla: Sí | Sí | No | No | No
Clics necesarios: Sí | Sí | Sí | Sí | Sí
CVE: CVE-2026-0628 | Ninguno | CVE-2026-55945 | Ninguno | Ninguno
Recompensa pagada: $7,000 | $7,000 | $5,000 | $900 | $600

Comet fue el peor caso, dijeron los investigadores. Perplexity construyó Comet como un navegador totalmente impulsado por IA, por lo que su agente tenía amplios poderes: una vez secuestrado, podía leer cualquier archivo del ordenador, listar los sitios que el usuario había visitado, hacer capturas de pantalla y actuar como el usuario.

Perplexity había bloqueado las extensiones en su página principal, por lo que Forever Security utilizó una dirección de prueba olvidada, testing.perplexity.com, que no estaba restringida de la misma manera.

Claude en Chrome fue el caso más leve. "Claude en Chrome es una extensión de navegador, no un navegador", escribió la empresa, calificando el hallazgo como el menos grave porque una extensión estaba abusando de otra en lugar de una extensión abusando de un navegador. Anthropic lo calificó de gravedad media y pagó una recompensa.

Forever Security también afirmó que Anthropic los nombró como los primeros en informar el hallazgo de Claude. Esto se suma a informes públicos anteriores sobre el mismo punto débil en la extensión.

La firma de seguridad LayerX describió un fallo relacionado, llamado ClaudeBleed, en abril, y Manifold Security informó en julio que una brecha similar permanecía abierta en una versión posterior. Edge fue el más difícil de vulnerar, dijeron los investigadores. Microsoft había intentado bloquear el truco de la extensión, por lo que Forever Security combinó dos debilidades. Tomaron el control de una página de marketing de Microsoft que tenía permitido enviar prompts a la IA de Edge. Luego utilizaron un fallo de temporización, llamado condición de carrera, para cambiar el agente entre sus modos de "pensar" y "actuar" en el momento justo, logrando que ejecutara un prompt.

Opera Neon fue el más fácil. Su IA recibía órdenes de opera.com, y Opera no había impedido que las extensiones ejecutaran código en esa página, por lo que la extensión podía enviar comandos directamente. Forever Security dijo que Opera informó haber encontrado el mismo fallo por su cuenta aproximadamente al mismo tiempo, pero pagó la recompensa de todos modos.

A fecha de 16 de septiembre de 2026, ninguno de los dos CVE figuraba en el catálogo de Vulnerabilidades Conocidas Explotadas de EE. UU., y ninguna prueba pública mostró que alguno de los cinco métodos se estuviera utilizando en un ataque real. Todos ellos asumen que el atacante ya ha logrado que tú instales la extensión, el mismo punto de partida que muchos otros ataques de navegador.

Para los dos productos con un CVE, la solución es actualizar Chrome a la versión 143.0.7499.192 o posterior y Edge a la versión 150.0.4078.48 o posterior. Para Comet, Opera Neon y Claude en Chrome, Forever Security dijo que cada proveedor pagó una recompensa pero no dieron una fecha para solucionar el método exacto descrito. Si usas esos tres, debes asegurarte de que tu software esté actualizado y revisar las extensiones que tienes instaladas.

El hilo conductor, dijo Forever Security, es que poner un agente de IA dentro del navegador reabre una ruta que los navegadores se esfuerzan por cerrar, permitiendo que una extensión de bajos privilegios llegue a una parte de altos privilegios del navegador. Otros investigadores han informado de debilidades relacionadas en navegadores impulsados por IA durante el último año.

Fuente:
THN