Eine Browser-Erweiterung genügt: Forscher kapern KI-Assistenten in Chrome, Edge, Comet, Opera Neon und Claude

Browser bekommen gerade reihenweise KI-Assistenten eingebaut: Gemini in Chrome, Copilot in Edge, der Agent in Perplexitys Comet, Opera Neon, die Claude-Erweiterung für Chrome. Alle dürfen deutlich mehr als eine normale Webseite — Dateien lesen, Kamera und Mikrofon nutzen, im Namen des Nutzers klicken. Das Sicherheitsunternehmen Forever Security hat nun gezeigt, dass eine einzige gewöhnliche Browser-Erweiterung mit zwei alltäglichen Berechtigungen genügt, um diese Assistenten in allen fünf Produkten zu kapern.

Es handelt sich um Demonstrationen der Forscher, nicht um beobachtete Angriffe. Und jede von ihnen setzt voraus, dass der Nutzer die bösartige Erweiterung bereits installiert hat. Genau das ist aber der Alltag: Erweiterungen werden gekauft, übernommen und vergiftet — die Geschichte der Honey-Erweiterung hat gezeigt, wie viele Millionen Nutzer an einem einzigen Plugin hängen können.

Das Wichtigste in Kürze

• Forever Security hat mit einer Erweiterung die eingebauten KI-Assistenten von Chrome (Gemini Live), Perplexity Comet, Microsoft Edge, Opera Neon und Claude in Chrome übernommen.
• Benötigt wurden nur zwei verbreitete Berechtigungen: Webseiten verändern (wie jeder Werbeblocker) und declarativeNetRequest, das Netzwerkanfragen umschreibt.
• Folgen je nach Produkt: KI-Agent fernsteuern, lokale Dateien lesen, Screenshots, Browserverlauf — in Chrome sogar Kamera und Mikrofon einschalten.
• Der Chrome-Fall (CVE-2026-0628, „GlicJack“, CVSS 8,8) ist seit Januar in Chrome 143.0.7499.192 behoben; Edge (CVE-2026-55945, CVSS 4,2) seit Juli in Version 150.0.4078.48.
• Für Comet, Opera Neon und Claude in Chrome gibt es keine CVE und kein bestätigtes Fix-Datum, nur gezahlte Prämien.
• Keine Angriffe in freier Wildbahn bekannt. Rund 20.000 US-Dollar Bug-Bounty insgesamt.

Körper und Gehirn: Wie die Assistenten gebaut sind

Forever Security beschreibt alle fünf Produkte mit demselben Bild. Der Assistent hat einen „Körper“ im Browser, der den Bildschirm sieht, Dateien öffnet, die Kamera bedient und Aktionen ausführt — und ein „Gehirn“ auf den Servern des Anbieters, das dem Körper sagt, was zu tun ist. Der Körper nimmt Befehle nur von einer einzigen vertrauenswürdigen Webseite an: gemini.google.com bei Chrome, perplexity.ai bei Comet, opera.com bei Neon, claude.ai bei der Claude-Erweiterung.

Eine Erweiterung darf diesen Körper eigentlich nicht ansprechen. Sie darf Webseiten verändern, aber nicht den Browser selbst steuern. Der Trick der Forscher: die vertrauenswürdige Seite kapern und über sie dem Körper eigene Befehle schicken. Mit der Berechtigung declarativeNetRequest, die Werbeblocker zum Filtern von Anfragen nutzen, schleust die Erweiterung ihren Code in genau diese Seite ein — und spricht mit dem Assistenten, als wäre sie der Anbieter.

Was in welchem Produkt möglich war

Chrome ist der bekannte Fall: Forscher Gal Weizman hatte ihn im März als GlicJack veröffentlicht, nachdem Google im Januar gepatcht hatte. Der Gemini-Bereich lief in einem privilegierten WebView, den Chrome schlicht vergessen hatte, vor Erweiterungen abzuschirmen. Das Ergebnis war der schwerste Fall der Reihe — Kamera, Mikrofon, Dateien, Screenshots, alles ohne Nachfrage.

Comet war nach Angaben der Forscher am gefährlichsten, weil Perplexity seinen Browser konsequent um den Agenten herum gebaut hat: Einmal gekapert, konnte er jede Datei lesen, den Verlauf auflisten, Screenshots machen und als Nutzer handeln. Perplexity hatte Erweiterungen von der Hauptseite ausgesperrt — die Forscher nahmen stattdessen eine vergessene Testadresse, testing.perplexity.com, die nicht gleich abgesichert war.

Edge war am schwersten zu knacken. Microsoft hatte den Erweiterungstrick bereits blockiert, also kombinierten die Forscher zwei Schwächen: eine Microsoft-Marketingseite, die Prompts an die Edge-KI senden durfte, und eine Race Condition, mit der sie den Agenten im richtigen Moment vom „Denken“ ins „Handeln“ schalteten.

Opera Neon war am einfachsten: Der Assistent nahm Befehle von opera.com entgegen, und Opera hatte Erweiterungen dort nicht daran gehindert, Code auszuführen. Opera gab an, den Fehler zeitgleich selbst gefunden zu haben, und zahlte trotzdem.

Claude in Chrome stufen die Forscher selbst als mildesten Fall ein — „eine Erweiterung, kein Browser“, eine Erweiterung missbraucht also eine andere. Anthropic bewertete das als mittlere Schwere und zahlte 600 Dollar. Neu ist die Schwachstelle nicht: LayerX hatte im April unter dem Namen ClaudeBleed beschrieben, dass beliebige Erweiterungen der Claude-Erweiterung Befehle unterschieben können, weil sie der Herkunft claude.ai vertraut statt dem Ausführungskontext; Manifold Security meldete im Juli, dass eine ähnliche Lücke in einer späteren Version offen blieb.

Warum das ein Strukturproblem ist

Browser haben über Jahre Mauern gezogen: Webseiten dürfen nicht auf den Rechner, Erweiterungen dürfen nicht an den Browserkern, jede Berechtigung wird einzeln abgefragt. Ein KI-Agent im Browser braucht aber genau das, was diese Mauern verhindern — er soll Seiten lesen, Dateien anhängen, klicken, sehen, hören. Also bekommt er einen Sonderstatus. Und dieser Sonderstatus ist ein neues, hochprivilegiertes Ziel, das mit denselben alten Werkzeugen erreichbar ist, mit denen Erweiterungen schon immer Webseiten verändert haben.

Der rote Faden, so Forever Security: Ein KI-Agent im Browser öffnet einen Weg wieder, den Browser mühsam geschlossen hatten — von einer schwach berechtigten Erweiterung zu einem stark berechtigten Teil des Browsers. Wer KI-Agenten auf dem Desktop einsetzt, sollte sie deshalb wie das behandeln, was sie sind: Software mit weitreichenden Rechten, deren Eingaben von außen kommen können.

Was Nutzer jetzt tun sollten

• Chrome auf 143.0.7499.192 oder neuer, Edge auf 150.0.4078.48 oder neuer bringen — bei automatischen Updates ist das längst passiert, ein Blick in „Über Chrome“ beziehungsweise „Über Microsoft Edge“ schafft Gewissheit.
• Comet, Opera Neon, Claude in Chrome: aktuell halten. Ein bestätigtes Fix-Datum für die beschriebenen Methoden gibt es nicht.
• Erweiterungen ausmisten. Alles, was nicht aktiv genutzt wird, fliegt raus. Besondere Aufmerksamkeit verdienen Erweiterungen, die Netzwerkanfragen ändern dürfen — dazu gehören auch Werbeblocker, die man also aus vertrauenswürdiger Quelle beziehen sollte.
• KI-Funktionen abwägen. Wer den Assistenten im Browser nicht braucht, schaltet ihn ab. Wer ihn nutzt, sollte wissen, dass er mit Kamera-, Mikrofon- und Dateizugriff läuft.

Einordnung

Fünf Produkte, ein Angriffsmuster, ein Forscher — und nur zwei der fünf Hersteller haben dem Fund eine CVE und eine nachvollziehbare Fix-Version gegeben. Die anderen drei zahlten eine Prämie und schweigen zum Status. Das ist bei Software, die auf dem Rechner des Nutzers Dateien lesen und für ihn handeln darf, zu wenig. Die eigentliche Botschaft der Forschung ist aber nicht die einzelne Lücke, sondern die Architektur: Solange KI-Agenten im Browser einer einzelnen Webseite blind vertrauen, bleibt jede Erweiterung, die diese Seite anfassen darf, ein Generalschlüssel.

Häufige Fragen

Bin ich betroffen, wenn ich keine KI-Funktion im Browser nutze?

Die Angriffe zielen auf den eingebauten Assistenten. Ist er deaktiviert oder nicht vorhanden, gibt es nichts zu kapern. Eine bösartige Erweiterung bleibt trotzdem ein Risiko für alle Webseiten, die sie sehen darf.

Muss ich meinen Werbeblocker entfernen?

Nein. Die Berechtigung declarativeNetRequest ist für Werbeblocker legitim und notwendig. Entscheidend ist, dass die Erweiterung aus einer vertrauenswürdigen Quelle stammt und nicht den Besitzer gewechselt hat.

Wurden diese Angriffe real eingesetzt?

Nein. Beide CVEs stehen nicht im Katalog der aktiv ausgenutzten Schwachstellen der US-Behörde CISA, und Forever Security berichtet von keinen Vorfällen. Alle fünf Methoden sind Forschungsdemonstrationen.

Was ist declarativeNetRequest?

Eine Schnittstelle für Chromium-Erweiterungen, mit der sie Regeln hinterlegen, welche Netzwerkanfragen blockiert oder umgeschrieben werden. Sie ersetzt das ältere webRequest und wird vor allem von Werbe- und Tracking-Blockern genutzt.

Quellen: Veröffentlichung von Forever Security, Berichterstattung von The Hacker News (16.09.2026), Unit-42-Analyse zu GlicJack (März 2026), LayerX zu ClaudeBleed (April 2026), SecurityWeek. Abgerufen am 16.09.2026. Für Comet, Opera Neon und Claude in Chrome liegen keine unabhängig bestätigten Details vor.