BragJack-lek: Extensie Kaapt AI-Assistent in 5 Browsers

Gebruik jij of je team de ingebouwde AI-assistent van Chrome, Edge, Opera Neon, Perplexity Comet of Claude in Chrome? Onderzoekers van Forever Security toonden op 16 september 2026 aan hoe één kwaadaardige browserextensie die AI-assistent volledig kan kapen, zonder dat je ergens op klikt. De techniek heet BragJack. Vijf grote browsers waren kwetsbaar, twee kregen een officieel CVE-nummer. Dit is wat er mis was en wat je vandaag moet controleren.

Wat is er precies aan de hand?

Steeds meer browsers krijgen een ingebouwde AI-agent die voor jou mails samenvat, tabbladen doorzoekt of zelfs klikt en typt op websites. Die agent werkt met verhoogde rechten binnen de browser, want hij moet bij je geschiedenis, bestanden en soms zelfs je camera en microfoon kunnen. Precies dat privilege maakte hem een aantrekkelijk doelwit.

Weizman noemt zijn techniek “prompt forcing”, om ze te onderscheiden van het bekendere “prompt injection”. Bij prompt injection probeert een aanvaller verborgen instructies te verstoppen in een webpagina, in de hoop dat het AI-model ze per ongeluk uitvoert. BragJack gaat een stap verder: de kwaadaardige extensie krijgt volledige controle over het complete commando, het tijdstip waarop het verstuurd wordt, en elk vervolgcommando. Ze doet zich voor als de browser zelf tegenover de AI-agent, nog vóór het model ook maar iets kan beoordelen. Daardoor helpen de gewone veiligheidsfilters van het AI-model hier niet tegen, meldt DarkReading.

Hoe werkt de aanval precies?

De extensie heeft geen bijzondere hacktools nodig. Ze gebruikt gewone browser-functies zoals content scripts en de declarativeNetRequest-API, die normaal dienen om advertenties te blokkeren of netwerkverzoeken aan te passen. Daarmee kaapt de extensie het vertrouwde kanaal waarlangs de browser normaal met zijn eigen AI-agent praat.

Bij Chrome met Gemini en Edge met Copilot kon dit onder meer lokale bestanden, browsegeschiedenis en tabbladschermafbeeldingen blootleggen. Bij agentic browsers zoals Perplexity Comet en Opera Neon ging het verder: die agents kunnen ook zelf klikken en typen op websites, waardoor een aanvaller ze kon inzetten om in jouw naam acties uit te voeren, meldt CyberSecurityNews. Een aanvaller moet de extensie wel eerst geïnstalleerd krijgen, bijvoorbeeld via de webstore onder een misleidende naam of functie. Eens dat gelukt is, werkt de rest zonder verdere klik van het slachtoffer.

Wat betekent dit voor jou als KMO?

Vraag: Moet ik nu paniekeren? Nee. De vijf betrokken bedrijven hebben het lek al gedicht, en Weizman deelde de details pas nadat elke vendor een patch had. Wel belangrijk: update je browser en verwijder onbekende extensies, zeker als je team AI-functies in de browser gebruikt.

Vraag: Gebruik ik dit risico eigenlijk wel? Alleen als je browser een ingebouwde AI-agent heeft (Gemini in Chrome, Copilot in Edge, Opera Neon, Perplexity Comet of Claude in Chrome) én je extensies met brede rechten toestaat. Een gewone browser zonder AI-agent en zonder extensies loopt dit specifieke risico niet.

Concreet raden we aan:

1. Update je browser vandaag naar de laatste versie, op elk toestel in je bedrijf.
2. Controleer je extensies via chrome://extensions of het equivalent, en verwijder alles wat je niet actief gebruikt of niet herkent.
3. Werk je met een IT-partner of centraal beheer? Zet een extensie-allowlist in en beperk brede host- en netwerkrechten voor extensies bedrijfsbreed, in plaats van te vertrouwen op elke medewerker apart.
4. Gebruik je AI-browseragents die zelf kunnen klikken en typen (zoals Comet of Neon)? Zet die functie uit voor gevoelige taken zoals bankieren of interne systemen, tot je zeker weet dat je extensiebeleid op orde is.

Onze mening

Dit is precies het soort lek waar we voor waarschuwden bij eerdere AI-agent incidenten: hoe meer rechten je aan een AI-agent geeft, hoe groter de schade als er ergens een kier zit. Hier zat die kier niet eens in het AI-model zelf, maar in de manier waarop browsers hun eigen agent vertrouwen. Dat is technisch knap gevonden door de onderzoekers, en het is goed dat alle vijf de bedrijven snel patchten.

Voor een KMO verandert de les niet: AI-functies in je browser zijn handig, maar behandel ze niet als vertrouwd-tot-het-tegendeel-bewezen. Extensiebeheer klinkt saai, maar is precies het soort basishygiëne dat dit soort aanvallen onschadelijk houdt, ook de volgende die nog moet uitkomen.

---

Bronnen

• BragJack: How We Hijacked 5 Of The World’s Most Popular Browsers Using Their Built-In AI Assistants - Forever Security, 16 september 2026
• BragJack attacks hijack AI browser agents through malicious extensions - BleepingComputer
• BragJack Attack Can Turn a Browser’s Agentic AI Against It - DarkReading
• BragJack Attack Lets Malicious Extensions Hijack AI Agents Across 5 Major Browsers - CyberSecurityNews
• BragJack Attack Hijacks AI Assistants in 5 Popular Browsers With Zero Clicks - GBHackers

Beeldverantwoording

Voor dit artikel konden we geen enkele externe beeldbron gebruiken. We controleerden de volledige toegestane bronvolgorde uit ons beeldbeleid: er bestaat geen Canva-brandtemplate CyberNinja Blog Hero in het gekoppelde Canva-account (leeg resultaat, geen foutmelding), en directe verbindingen naar persmateriaal, Wikimedia Commons, Unsplash en Pexels gaven telkens een verbindingsfout terug omdat het uitgaande netwerkverkeer naar deze domeinen in deze omgeving is geblokkeerd door het organisatiebeleid, niet door een licentietwijfel.

Omdat ons beeldbeleid zelfgetekende of zelf gegenereerde illustraties uitsluit, vielen we terug op de laatste toegestane optie: het standaard OG-fallback beeld van cyberninja.be. Het artikel bevat daardoor geen inline foto’s; het schema dat de aanval uitlegt is bewust HTML met Lucide-iconen in plaats van een afbeelding. We geven dit door aan Thomas, met de aanbeveling om de Canva-brandtemplate CyberNinja Blog Hero aan te maken zodat volgende artikels wel een eigen hero krijgen.

• og-image.png (bestaand sitebeeld) - CyberNinja.be, eigen werk, standaard OG-fallback