Der Kern des Problems liegt darin, dass Browser-Erweiterungen Netzwerkverkehr und Seiten manipulieren können, denen genau diese privilegierten Komponenten vertrauen. Weizman setzte gegen alle fünf Ziele dieselbe Erweiterung ein und stützte sich dabei auf Chromiums declarativeNetRequest (DNR). Damit lassen sich Netzwerkanfragen umschreiben, Antwort-Header verändern und Ressourcen umleiten.
Im Fall von Chrome waren Erweiterungen zwar daran gehindert, die privilegierte Komponente chrome://glic direkt anzufassen oder Skripte in Googles Gemini-Seite einzuschleusen. Über DNR-Regeln ließen sich jedoch die Anfragen der eingebetteten Gemini-Webanwendung abfangen. Indem der Forscher Sicherheits-Header abschwächte und eine JavaScript-Ressource umleitete, führte er Code im Gemini-Kontext aus und kommunizierte direkt mit Chromes privilegierter KI-Komponente, statt den regulären Anfrageweg von Gemini zu nehmen. Der so gewonnene Zugriff erlaubte laut Weizman das Lesen lokaler Dateien, den Zugriff auf Webinhalte, Screenshots und potenziell auch Kamera und Mikrofon des Browsers. Google vergab CVE-2026-0628 und zahlte 7.000 US-Dollar.
Noch weiter reichen die Angriffe auf agentische Browser wie Perplexity Comet und Opera Neon, deren Agenten nicht nur lesen, sondern auf Webseiten handeln können. Bei Comet vertraute die integrierte Agenten-Erweiterung mehreren Perplexity-Domains, darunter einer Testdomain, die nicht denselben Schutz genoss wie perplexity.ai. Weizman entfernte per DNR eine Weiterleitung, lud die Testdomain und schleuste ein Content-Skript ein, das mit dem eingebauten Agenten sprechen konnte. Möglich wurden so Zugriffe auf Browserverlauf, Screenshots und lokale Dateien sowie das Absetzen von Anweisungen an den Agenten. In der Demonstration zwang er den Agenten, Perplexity aufzurufen, die E-Mails des Opfers zusammenzufassen und das Ergebnis an eine fremde Adresse zu senden.
Microsoft Edge erforderte einen anderen Weg. Microsoft hatte seinen Agenten in die Modi „Think" und „Do" aufgeteilt, damit er nicht gleichzeitig beliebige Anweisungen entgegennehmen und ausführen kann. Weizman fand eine Race Condition, die die Beschränkung kurzzeitig aufhebt, während eine Eingabeaufforderung erzwungen wird, und die Handlungsfähigkeit wieder aktiviert, bevor der Agent seinen Zustand prüft. Microsoft vergab dafür CVE-2026-55945. Vergleichbare Schwächen demonstrierte der Forscher gegen Opera Neon und Claude in Chrome – letzteres ist selbst eine Erweiterung und kein Browser.
Die Übernahmetechnik nennt Weizman Prompt Forcing. Anders als bei klassischer Prompt Injection, bei der Anweisungen in Inhalte geschmuggelt werden, die die KI ohnehin liest, übergibt der Angreifer dem Agenten hier einen kompletten Prompt samt Folgeanweisungen. Der Agent übersetzt diese mit seinen bestehenden Rechten in legitime Browser-Aktionen. Für Endpunktschutz sei das heikel, argumentiert der Forscher, weil die abschließende Aktion nicht von klassischem Schadcode ausgeführt wird, sondern von legitimer Software, der man den Angriff aufträgt.
Zum Umfeld gehören ältere Funde an derselben Anthropic-Erweiterung: ClaudeBleed, von LayerX offengelegt, bei dem Claude for Chrome dem Ursprung claude.ai vertraute, statt zu prüfen, welches Skript es tatsächlich steuerte – sowie ein gemeldeter Fehler, bei dem die Erweiterung eingebaute KI-Abläufe auf synthetische Klicks hin ausführte, ohne einen echten Nutzer zu verifizieren; der markierte Code war acht Releases später noch reproduzierbar.
Neben seinem Bericht hat Weizman eine vollständige technische Aufschlüsselung aller fünf Angriffe veröffentlicht. Nutzern rät er, Browser aktuell zu halten, unbekannte oder ungenutzte Erweiterungen zu entfernen und Berechtigungsabfragen nach dem Muster „alle Daten auf allen Websites lesen und ändern" kritisch zu prüfen.