Descoberta e evidências
O estudo divulgado em 19 de novembro de 2025 identifica a chamada MCP API (chrome.perplexity.mcp.addStdioServer) no Comet. Segundo os pesquisadores, a API concede às extensões embutidas (atualmente a Agentic extension) acesso persistente para executar comandos locais sem os controles tradicionais de navegadores — uma capacidade normalmente proibida por vendors como Chrome, Safari e Firefox.
Demonstrativo de ataque e vetores possíveis
Na demonstração, a equipe da SquareX usou técnica de extension stomping para mascarar uma extensão maliciosa como a Analytics Extension embutida. Depois, o fluxo injeta um script no site perplexity.ai que invoca a Agentic extension e, por fim, executa código local via MCP — o exemplo público citado usou a execução do ransomware WannaCry como prova de conceito. A pesquisa ressalta que XSS, ataques MitM ou comprometimento de terceiros podem levar ao mesmo resultado se a cadeia de confiança for quebrada.
Citação e preocupação
“For decades, browser vendors have adhered to strict security controls that prevent browsers, and especially extensions, from directly controlling the underlying device,” disse Kabilan Sakthivel, Researcher at SquareX.
Outro ponto citado pela SquareX: Perplexity/Comet ocultaram as extensões críticas do painel de extensões do Comet, o que impede o usuário de desativá‑las manualmente caso sejam comprometidas, criando um “hidden IT” invisível para administradores.
Impacto e riscos
Se explorada, a API permite execução local arbitrária a partir de um navegador — uma perda drástica de barreiras de segurança que transforma o browser em vetor para comprometer o endpoint inteiro. Embora a pesquisa não apresente evidência de uso malicioso em larga escala, os autores afirmam que a ausência de documentação e controles formais amplia risco de terceiros e de cadeia de fornecimento.
Recomendações
- Exigir divulgação de APIs por vendors de AI Browsers e auditorias de segurança de terceiros;
- Monitorar e bloquear extensões embutidas desconhecidas em ambientes corporativos;
- Isolar navegadores que hospedam agentes AI com regras de endpoint e políticas de execução restritas;
- Exigir controles explícitos de consentimento para qualquer acesso local por extensões e permitir aos administradores desativar componentes embutidos.
Limites das informações
A pesquisa aponta a presença da API em Comet e descreve um PoC; não há, nas fontes consultadas, provas de exploração massiva. A SquareX afirma ter comunicado a Perplexity, mas não obteve posição pública no momento da publicação.