Wenn der Körper des Agenten gekapert wird — eine Erweiterung steuert AI-Assistenten über fünf Produkte
Forever Security zeigte, dass eine einzelne gewöhnliche Browser-Erweiterung die eingebaute AI von fünf Produkten steuern konnte — Chrome, Comet, Edge, Opera Neon und Claude. Gesondert berichtete Mandiant von einem Angreifer, der eine Sitzung eines AI-Coding-Assistenten kapert und den Wurm Shai-Hulud über etwa 100 Repositories verbreitet. Wir zeichnen die Vertrauensgrenzen agentischer Laufzeiten auf.
Dieser Artikel wurde maschinell übersetzt.
Im September 2026 demonstrierte der Forscher Gal Weizman von Forever Security, dass eine einzelne Browser-Erweiterung mit nur zwei gewöhnlichen Berechtigungen — Änderung der Seite und declarativeNetRequest — die eingebauten AI-Assistenten von fünf Produkten steuern konnte: Gemini Live in Chrome, Perplexity Comet, Microsoft Edge, Opera Neon und die Erweiterung Claude in Chrome. Die Architektur ist über die Produkte hinweg dieselbe: Die AI hat einen "Körper" im Browser, der den Bildschirm sehen, Dateien öffnen und die Kamera nutzen kann, und ein "Gehirn" auf den Servern des Herstellers, und der Körper nimmt Befehle nur von einer einzelnen vertrauenswürdigen Seite entgegen (z. B. gemini.google.com). Die Erweiterung schleust ihren eigenen Code in diese vertrauenswürdige Seite ein und spricht den Körper an, als wäre sie der Hersteller. Der Fall Chrome, bekannt als GlicJack, ist CVE-2026-0628 (CVSS 8.8, behoben in Chrome 143); nur der Befund zu Edge erhielt ebenfalls eine CVE, CVE-2026-55945 (CVSS 4.2, behoben). Comet, Opera Neon und Claude haben keine CVEs. Comet war der schwerste Fall — einmal gekapert, konnte sein Agent jede Datei lesen, den Browserverlauf auflisten, Screenshots aufnehmen und als der Benutzer handeln. Alle Befunde sind Demonstrationen von Forschern, keine Angriffe in the wild, und jeder setzt voraus, dass die Erweiterung bereits installiert ist (laut der Berichterstattung von The Hacker News).
In einem gesonderten Strang beschreibt der Bericht von Mandiant vom September 2026 einen Angreifer, der eine aktive Sitzung eines AI-Coding-Assistenten bei einem nicht genannten SaaS-Anbieter kapert. Nach der Kaperung wurde eine Empfehlung des Assistenten — für Software, die der Angreifer vergiftet hatte — vom Menschen angenommen, und der Angreifer nutzte die Sitzung des Entwicklers, um einen Infostealer über ein vergiftetes PyPI-Paket innerhalb des offiziellen Namespace des Unternehmens zu installieren. OAuth-Token von GitHub wurden gestohlen, und der sich selbst verbreitende Wurm Shai-Hulud wurde über rund 100 interne Repositories ausgebracht; ein zweiter Mitarbeiter, der die kompromittierte Version zog, verursachte eine zweite Infektion. Mandiant hatte zuvor berichtet, dass Angreifer im Laufe von 2025 davon, generative AI zur Beschleunigung der Arbeit zu nutzen, dazu übergingen, LLMs in Malware und in laufende Angriffe einzubetten (laut der Berichterstattung von The Hacker News und Mandiant).
Analyse (von den Fakten getrennt): Was die beiden Geschichten teilen, ist, dass die Vertrauensgrenze agentischer Architekturen auf einer "Seite" und einer "Empfehlung" sitzt, nicht auf menschlicher Freigabe. Agenten, die den Browser nutzen, nehmen Befehle von einer einzelnen vertrauenswürdigen Domain an — aber eine Erweiterung kann die Inhalte dieser Seite umschreiben und macht Erweiterungen so zu einem Pfad der Lieferkette in die Vertrauensgrenze. Auf der Seite der Coding-Agenten ist die menschliche "Freigabe" einer AI-Empfehlung selbst die Gewährung des Ausführungsprivilegs: Wenn die Eingabe des Empfehlenden (die Paket-Registry) vergiftet ist, wird die Freigabe zum Auslöser. Human-in-the-loop wird gewöhnlich als Sicherheitsmaßnahme beschrieben, doch in beiden Fällen hat der Mensch in der Schleife die Empfehlung nicht geprüft — es war eine Formalität.
Abwehrseitige Folgerungen: (1) Auf Endpunkten, auf denen AI-Assistenten aktiviert sind, inventarisieren Sie die Berechtigungen von Erweiterungen zusammen mit den Fähigkeiten des Agenten — wenn eine Erweiterung über den "Körper" des Agenten das Lesen von Dateien und den Zugriff auf die Kamera erreichen kann, ist ihr Berechtigungen zu gewähren eine echte Privilegvergabe. (2) Behandeln Sie jedes von einer AI empfohlene Paket oder Werkzeug, auch bei menschlicher Freigabe, als einen neu geöffneten Pfad der Lieferkette, der geprüft werden muss. (3) Auf der Seite der vertrauenswürdigen Domain inventarisieren Sie übrig gebliebene Befehlskanäle wie Test-Subdomains (eine übrig gebliebene Testadresse war der Durchbruch bei Comet). (4) Halten Sie die Dateien, die ein Agent lesen kann, und die Token (z. B. OAuth), die er hält, klein. Dies ist unsere Analyse, nicht eine Anleitung des Herstellers.
Die Fakten in diesem Artikel stammen vorrangig aus der BragJack-Darstellung von Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) und dem AI Risk and Resilience Report 2026 von Mandiant / Google Cloud (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026), mit der Berichterstattung von The Hacker News als sekundärer Quelle (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html und https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); die Analyseabschnitte werden von der faktischen Berichterstattung getrennt gehalten. Zu beachten ist, dass für die Produkte ohne CVEs der Stand der Behebung beim Hersteller aus öffentlichen Informationen nicht vollständig bestätigt werden konnte.