BragJack: una sola extensión puede secuestrar los asistentes de IA de cinco navegadores

Los navegadores con asistente de IA integrado tienen un problema de confianza: el asistente obedece a su propio dominio, y una extensión de bajo privilegio puede hacerse pasar por ese dominio. Eso es BragJack, y afecta a cinco navegadores a la vez.

Qué es BragJack y a quién afecta

El investigador Gal Weizman, de Forever Security, divulgó BragJack en septiembre de 2026: una técnica que permite a una única extensión maliciosa secuestrar los asistentes de IA integrados en navegadores. La prueba de concepto se demostró contra cinco: Gemini Live en Google Chrome, Perplexity Comet, Microsoft Edge, Opera Neon y Claude en Chrome.

Una condición importante: el ataque requiere que la extensión maliciosa ya esté instalada en el navegador de la víctima. No es una ejecución remota desde una página web cualquiera.

Cómo funciona: no es una inyección de prompt clásica

Lo interesante es que BragJack no depende de engañar al modelo ni de saltarse sus guardrails. Explota una debilidad de arquitectura en cómo el navegador reparte confianza entre tres piezas: la extensión, la superficie privilegiada del asistente y la aplicación web del proveedor. Una extensión de bajo privilegio puede suplantar el dominio al que el asistente está diseñado para obedecer.

Con la API declarativeNetRequest y los permisos asociados, la extensión puede:

1. Debilitar o quitar la Content Security Policy de la página que carga el frontend del asistente.
2. Redirigir los recursos JavaScript de los que depende esa página hacia servidores del atacante.
3. Inyectar código que emite comandos al agente como si vinieran del dominio confiable del proveedor.

Weizman lo llama “Prompt Forcing”: en vez de colar una instrucción dentro de contenido que el modelo lee, se entrega al agente la instrucción completa por el canal que este considera legítimo.

Comparación: inyección de prompt vs. BragJack

Conviene distinguir ambas clases de ataque porque se mitigan distinto:

• Inyección de prompt indirecta: el atacante esconde instrucciones en contenido que el agente lee. Se mitiga con aislamiento de contenido no confiable, mínimo privilegio y confirmación humana.
• BragJack: el atacante compromete el canal de confianza que lleva las órdenes al agente. Ningún filtro del modelo ayuda, porque la orden parece legítima. Se mitiga controlando qué extensiones corren en el navegador y reforzando la verificación del origen de las instrucciones del lado del proveedor.

Qué significa para tu empresa

¿Quieres una política de uso de asistentes de IA y extensiones para tu empresa? Escríbenos a info@guatemalia.com.