Alle betroffenen Produkte funktionieren nach demselben Muster, erklärt Forever Security: Die KI besitzt einen „Körper" im Browser, der den Bildschirm sieht, Dateien öffnet, die Kamera nutzt und Aktionen ausführt, sowie ein „Gehirn" auf den Servern des Anbieters, das dem Körper Anweisungen gibt. Der Körper nimmt Befehle nur von einer einzigen vertrauenswürdigen Webseite entgegen — etwa gemini.google.com bei Chrome oder perplexity.ai bei Comet.
Eine Erweiterung darf diesen Körper eigentlich nicht ansprechen; sie kann Webseiten verändern, nicht aber den Browser selbst steuern. Der Ansatz der Forscher bestand darin, genau jene vertrauenswürdige Seite zu übernehmen und über sie eigene Befehle abzusetzen. Dafür genügten nach Angaben der Forscher zwei verbreitete Berechtigungen: eine zum Verändern von Webseiten, wie sie Werbeblocker nutzen, und declarativeNetRequest zum Eingriff in den Netzwerkverkehr. Zusammen erlaubten sie es, eigenen Code in die vertrauenswürdige Seite einzuschleusen und mit der KI zu sprechen, als sei man der Hersteller.
Der Chrome-Fall ist nicht neu: Forever-Security-Forscher Gal Weizman hatte ihn im März öffentlich als GlicJack beschrieben, Google behob ihn Anfang Januar 2026 in Chrome 143.0.7499.192. Die Bewertung von 8,8 stammt von CISA, weil das NIST keinen Wert vergeben hat. Die vier übrigen Fälle kamen in diesem Jahr hinzu. Nur der Edge-Befund erhielt eine eigene Kennung, CVE-2026-55945, die Microsoft am 2. Juli in Edge 150.0.4078.48 behob.
Als gravierendsten Fall nennen die Forscher Comet. Perplexity hat den Browser vollständig KI-gesteuert angelegt, entsprechend weit reichen die Rechte des Agenten: Nach der Übernahme konnte er jede Datei auf dem Rechner lesen, die besuchten Seiten auflisten, Bildschirmfotos anfertigen und im Namen des Nutzers handeln. Perplexity hatte Erweiterungen auf der Hauptseite blockiert — Forever Security wich auf die übrig gebliebene Testadresse testing.perplexity.com aus, die nicht ebenso abgesichert war.
Edge erwies sich als am schwersten angreifbar. Microsoft hatte den Erweiterungstrick zu unterbinden versucht, weshalb die Forscher zwei Schwächen kombinierten: Sie übernahmen eine Microsoft-Marketingseite, die Eingaben an die Edge-KI senden durfte, und nutzten eine Race Condition, um den Agenten im richtigen Moment zwischen den Modi „Denken" und „Handeln" umzuschalten.
Am leichtesten fiel der Angriff bei Opera Neon: Dessen KI gehorchte Befehlen von opera.com, und Opera hatte Erweiterungen dort nicht am Ausführen von Code gehindert. Opera habe denselben Fehler etwa zeitgleich selbst gefunden, aber dennoch eine Prämie gezahlt.
Claude in Chrome stuft Forever Security selbst als mildesten Fall ein. „Claude in Chrome ist eine Browser-Erweiterung, kein Browser", schreibt das Unternehmen; hier missbrauche eine Erweiterung eine andere, nicht einen Browser. Anthropic bewertete den Befund als mittelschwer, zahlte eine Prämie und benannte Forever Security als Erstmelder. Zur selben Schwachstelle gab es bereits frühere Berichte: Die Sicherheitsfirma LayerX beschrieb im April eine verwandte Lücke namens ClaudeBleed, Manifold Security meldete im Juli, eine ähnliche Lücke bestehe in einer späteren Version fort.
Insgesamt erhielt Forever Security nach eigenen Angaben rund 20.000 US-Dollar an Bug-Bounty-Zahlungen über die fünf Produkte, wobei die Einzelbeträge in Summe 20.500 Dollar ergeben. Stand 16. September 2026 stand keine der beiden CVEs im US-Katalog bekannter ausgenutzter Schwachstellen, und es gab keine öffentlichen Belege für einen realen Angriff. Wer Chrome und Edge nutzt, sollte auf 143.0.7499.192 beziehungsweise 150.0.4078.48 oder neuer aktualisieren; für Comet, Opera Neon und Claude in Chrome nannten die Hersteller kein Datum für eine Behebung der beschriebenen Methode.