Cuando se secuestra el cuerpo del agente — una extensión que dirige asistentes de IA en cinco productos
Forever Security mostró que una sola extensión de navegador ordinaria podía dirigir la IA integrada de cinco productos: Chrome, Comet, Edge, Opera Neon y Claude. Por separado, Mandiant informó de un atacante que secuestró una sesión de un asistente de programación con IA y propagó el gusano Shai-Hulud por unos 100 repositorios. Trazamos los límites de confianza de los entornos de ejecución agénticos.
Este artículo fue traducido por máquina.
En septiembre de 2026, el investigador de Forever Security Gal Weizman demostró que una sola extensión de navegador, con solo dos permisos habituales — modificación de página y declarativeNetRequest —, podía controlar los asistentes de IA integrados de cinco productos: Gemini Live en Chrome, Perplexity Comet, Microsoft Edge, Opera Neon y la extensión Claude in Chrome. La arquitectura es la misma en los distintos productos: la IA tiene un «cuerpo» dentro del navegador que puede ver la pantalla, abrir archivos y usar la cámara, y un «cerebro» en los servidores del proveedor, y el cuerpo solo recibe órdenes de una única página de confianza (p. ej., gemini.google.com). La extensión desliza su propio código en esa página de confianza y habla al cuerpo como si fuera el proveedor. El caso de Chrome, conocido como GlicJack, es CVE-2026-0628 (CVSS 8.8, corregido en Chrome 143); solo el hallazgo de Edge recibió también un CVE, CVE-2026-55945 (CVSS 4.2, corregido). Comet, Opera Neon y Claude no tienen CVE. Comet fue el peor caso: una vez secuestrado, su agente podía leer cualquier archivo, listar el historial de navegación, tomar capturas de pantalla y actuar como el usuario. Todos los hallazgos son demostraciones de investigadores, no ataques en el mundo real, y cada uno supone que la extensión ya está instalada (según la cobertura de The Hacker News).
En un hilo aparte, el informe de septiembre de 2026 de Mandiant describe a un atacante que secuestra una sesión activa de un asistente de programación con IA en un proveedor de SaaS que no se nombra. Tras el secuestro, una recomendación del asistente — de software que el atacante había envenenado — fue aceptada por la persona, y el atacante usó la sesión del desarrollador para instalar un infostealer mediante un paquete de PyPI envenenado, dentro del espacio de nombres oficial de la empresa. Se robaron tokens OAuth de GitHub, y el gusano de autopropagación Shai-Hulud se desplegó en aproximadamente 100 repositorios internos; un segundo empleado que hizo pull de la versión comprometida provocó una segunda infección. Mandiant había informado antes de que, durante 2025, los atacantes pasaron de usar la IA generativa para acelerar el trabajo a incrustar LLM en el malware y en ataques en curso (según la cobertura de The Hacker News y de Mandiant).
Análisis (separado de los hechos): lo que las dos historias comparten es que el límite de confianza de las arquitecturas agénticas se sitúa en una «página» y en una «recomendación», y no en la aprobación humana. Los agentes de uso del navegador aceptan órdenes de un solo dominio de confianza, pero una extensión puede reescribir el contenido de esa página, lo que convierte a las extensiones en una vía de cadena de suministro hacia el límite de confianza. Del lado del agente de programación, la «aprobación» humana de una recomendación de la IA es en sí misma la concesión del privilegio de ejecución: si la entrada de quien recomienda (el registro de paquetes) está envenenada, la aprobación se convierte en el disparador. La persona en el bucle suele describirse como una medida de seguridad; sin embargo, en ambos casos la persona que estaba en el bucle no validó la recomendación: fue una formalidad.
Implicaciones para la defensa: (1) En los endpoints donde los asistentes de IA están habilitados, inventaríe los permisos de las extensiones junto con las capacidades del agente: si una extensión puede llegar a la lectura de archivos y al acceso a la cámara a través del «cuerpo» del agente, concederle permisos es una concesión real de privilegio. (2) Trate cualquier paquete o herramienta recomendados por la IA, incluso con aprobación humana, como una vía de cadena de suministro recién abierta que necesita validación. (3) Del lado del dominio de confianza, inventaríe los canales de órdenes que hayan quedado, como los subdominios de prueba (una dirección de pruebas residual fue el punto de ruptura en Comet). (4) Reduzca al mínimo los archivos que un agente puede leer y los tokens (p. ej., OAuth) que conserva. Esto es nuestro análisis, no una orientación del proveedor.
Los hechos de este artículo se extraen principalmente del texto BragJack de Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) y del AI Risk and Resilience Report 2026 de Mandiant / Google Cloud (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026), con la cobertura de The Hacker News como fuente secundaria (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html y https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); las secciones de análisis se mantienen separadas de la información factual. Nótese que, para los productos sin CVE, el estado de la remediación del proveedor no pudo confirmarse por completo a partir de la información pública.