“Wir haben etwas Schlimmeres entdeckt”, schreibt Weizman in seinem Beitrag und ergänzt, alle gefundenen Schwachstellen hätten denselben kritischen Konstruktionsfehler geteilt. Gegenüber Dark Reading erklärt er, der Fehler liege in der Art, wie agentische Browser mit Erweiterungen interagieren: Angreifer können den Kommunikationskanal vollständig übernehmen und dem eingebauten Agenten beliebige Prompts aufzwingen.
“Sie mussten Anweisungen nicht geschickt in Daten verstecken, mit denen der Agent arbeitet, in der Hoffnung, dass er anbeißt; sie konnten einfach einen Prompt nach dem anderen senden, bis der Agent überzeugt war, alles zu tun”, sagt Weizman in einem E-Mail-Interview. Dass der Angriff gegen fünf der weltweit verbreitetsten agentischen Browser funktionierte, mache ihn zu mehr als einer einzelnen Schwachstelle — nämlich zu einer neuen Angriffsart.
Forever Security informierte die fünf betroffenen Unternehmen. Jedes erkannte eine Schwachstelle in der eigenen Technik an und zahlte eine Prämie, die von 600 US-Dollar bei Anthropic bis zu 7.000 US-Dollar bei Google reichte. Google und Microsoft vergaben zudem CVE-Nummern für die Fehler in ihren agentischen Browsern Chrome und Edge: CVE-2026-0628 beziehungsweise CVE-2026-55945.
Die konkrete Ausprägung unterschied sich je Browser, das ausgenutzte Architekturproblem blieb gleich. Bei Chrome mit Gemini etwa blockierte der Browser zwar das Einschleusen von Skripten in die Gemini-Seite, verhinderte aber nicht, dass eine Erweiterung die Netzwerkanfragen zum Laden von Gemini verändert. Über diese Lücke ersetzten die Forscher JavaScript durch Code von einer eigenen Website und erlangten damit Kontrolle über den browserseitigen “Körper” von Gemini. So konnten sie ohne jeden Klick des Nutzers Screenshots anfertigen, auf lokale Dateien zugreifen sowie Kamera und Mikrofon aktivieren.
Bei Microsoft Edge mit Copilot stießen die Forscher auf stärkere Abwehrmechanismen und mussten zwei Schwächen verketten. Zunächst fanden sie eine Microsoft-Marketingseite mit besonderen Rechten, um Prompts an den Browser-Agenten zu senden. Eine Netzwerkschutzmaßnahme für diese Seite umgingen sie über eine Race Condition zwischen den Edge-Modi “Think” und “Do”: Durch Umschalten im richtigen Moment brachten sie den Agenten dazu, die Anweisungen sowohl anzunehmen als auch auszuführen.
Weizman verweist auf die Tragweite: Die untersuchten Browser-Agenten hätten alles getan, was die angreifende Erweiterung befahl — darunter der Zugriff auf sensible Informationen wie E-Mail-Korrespondenz, deren Weiterleitung an beliebige Ziele und sogar zerstörerische Operationen auf jeder Website, bei der der Nutzer angemeldet ist. Der Fall zeige, “wie gefährlich übermäßig mächtige Agenten — etwa solche, die in Browsern leben — in den falschen Händen sein können”. Er verknüpft das mit den eindringlichen Warnungen, die ein ehemaliger Anthropic-Mitarbeiter und der amtierende CEO des Unternehmens am Wochenende zur Eindämmung der KI-Entwicklung geäußert hatten. Agenten bräuchten “eingebaute Beschränkungen, die sie daran hindern, Aufgaben abzuschließen, die zu Datenabfluss oder zu Änderungen am Systemzustand führen können”, bevor sie öffentlich verfügbar würden.
Kurzfristig empfiehlt Weizman Organisationen, alle Chromium-basierten Browser aktuell zu halten und jede Erweiterung zu entfernen, die nicht geprüft und nicht als bekannt und sicher einzustufen ist. Da die Angriffe heutige EDR-Systeme umgehen können, rät er Security Operations Centern, vergangene Interaktionen mit den KI-Anbietern der jeweiligen Browser auszuwerten, potenziell betroffene Endpunkte zu identifizieren und die Gesprächsprotokolle zwischen Browser-Agent und Anbieter-Server auf verdächtiges Verhalten zu prüfen. Perspektivisch solle man EDR-Lösungen der nächsten Generation erwägen, die Operationen agentischer Komponenten auf dem Endpunkt abfangen und mit angereichertem Kontext sichere von gefährlichen Vorgängen unterscheiden.