Ausführliche Analysen zu Browser-Sicherheit, Isolation und den Ideen hinter Bromure.
Agent Data Injection, ein im Juli 2026 veröffentlichter Proof of Concept der Seoul National University, der UIUC und von Largosoft, versteckt keine Anweisungen in einem Prompt. Es fälscht die Zeichensetzung, mit der ein Agent ein vertrauenswürdiges Feld von unzuverlässigem Text unterscheidet — ein typografisches Anführungszeichen, ein maskiertes Anführungszeichen, sogar ein verirrtes Dollarzeichen — sodass der GitHub-Kommentar eines Angreifers als der Fix des Maintainers gelesen wird und ein gefälschter CI-Eintrag als sauberer Build. Es umging eigens gebaute Prompt-Injection-Abwehren bis zur Hälfte der Fälle, über GPT-5.2, Claude und Gemini hinweg. Bromure Agentic Coding normalisiert die gefälschten Trennzeichen, bevor der Text zu einem Plan wird, verriegelt die Aktionen führe-dies-aus und merge-dies, die aus der Box hinausreichen, und lässt das Ganze auf einer wegwerfbaren Linux-VM mit Köder-Anmeldedaten laufen.
Agentjacking, im Juni 2026 von Tenet Security offengelegt, braucht weder Schadsoftware noch Zugriff auf Ihre Infrastruktur. Ein Angreifer legt mit einem öffentlichen, nur zum Schreiben bestimmten Schlüssel einen gefälschten Fehler in Ihrem Sentry-Projekt an, versteckt darin Anweisungen und wartet. Wenn Sie Ihren Coding-Agenten bitten, das Problem zu beheben, liest er den Text des Angreifers als Anleitung und führt ihn mit Ihren Anmeldedaten aus. Tenet fand mindestens 2.388 offengelegte Projekte und eine Erfolgsquote von 85 % bei Claude Code, Cursor und Codex. Bromure Agentic Coding führt diesen gesamten Lese-und-Ausführen-Pfad in einer wegwerfbaren Linux-VM aus, bewertet den abgerufenen Text, bevor der Agent handelt, und lässt dem Anmeldedaten-Dieb nur Attrappen.
Forscher der Universität Tel Aviv, des Technion und von Intuit haben HalluSquatting offengelegt: Angreifer sondieren einen Coding-Agenten so lange, bis sie wissen, welche Paket-, Repository- oder Skill-Namen er zuverlässig erfindet, registrieren diese erfundenen Namen und warten. Wenn Sie nach dem Echten fragen, holt der Agent stattdessen die Version des Angreifers — und die darin versteckten Anweisungen kapern die Shell des Agenten, um Botnet-Malware zu installieren. Repository-Namen bis zu 85 % der Zeit halluziniert; Skill-Installationen bis zu 100 %. Bromure Agentic Coding lässt diesen ganzen Hol-und-Ausführ-Pfad in einer wegwerfbaren Linux-VM laufen, scannt die Paket-Registries, auf denen die Vermutung landet, und lässt der Malware nur Köder zu stehlen.
Island entdeckte FakeGit: rund 7.600 bösartige GitHub-Repositorys, mehr als 800 davon getarnt als KI-Skills und MCP-Server, die einen Windows-Loader namens SmartLoader verbreiten, der den Infostealer StealC installiert. Neu ist die Auslieferung: AgentBaiting — Claude Code, Gemini und ChatGPT finden diese Repos von selbst, lesen die README des Angreifers als Dokumentation und liefern dir die Installationsschritte. In einem Test klonte Claude Code ein Repo und führte die Dateien selbst aus. Bromure Agentic Coding lässt diesen gesamten Weg von der Empfehlung bis zur Ausführung in einer verwerfbaren Linux-VM laufen, wo ein Windows-Loader inert ist und die einzigen zu stehlenden Zugangsdaten Köder sind.
Forscher fanden mehr als tausend bösartige „Skills“, die den Marktplatz überschwemmen, aus dem ein quelloffener Coding-Agent schöpft — Infostealer, Reverse Shells und Krypto-Betrug, manche mit einem Downloader hinter 22 MB README-Füllmaterial versteckt. Sie funktionieren, weil ein Skill keine Abhängigkeit ist, die man installiert; er ist eine Fähigkeit, die man gewährt, und er läuft als du. Bromure Agentic Coding führt den Agenten — und alles, was er lädt — in einer wegwerfbaren VM aus, wo „als du“ eine Wegwerfkiste mit Köder-Schlüsseln bedeutet.
Am 30. Juni legte Adversa AI GuardFall offen — eine Klasse von Umgehungen, die jahrzehntealte Bash-Tricks direkt an den Befehlswächtern vorbeiführt, die in 10 von 11 populären Open-Source-Coding-Agenten eingebaut sind. Der Grund ist einfach und auf dieser Ebene nicht behebbar: Der Wächter liest den Text, und Bash schreibt den Text um, bevor er ausgeführt wird. Bromure Agentic Coding hat nie darauf gesetzt, dass der Wächter Bash korrekt liest. Es hat darauf gesetzt, dass der Befehl keine Rolle spielt, wenn er läuft.
Anfang Juli dokumentierte Sysdig, was es den ersten Ransomware-Angriff nennt, der Ende zu Ende von einem KI-Agenten durchgeführt wurde — Aufklärung, Sammeln von Zugangsdaten, laterale Bewegung und eine gelöschte Produktionsdatenbank, ohne einen Menschen an der Tastatur. Der interessante Teil für jeden, der einen Coding-Agenten betreibt, ist nicht, dass ein Angreifer ein Modell benutzt hat. Es ist, dass die gesamte Kette damit beginnt, die Umgebung nach Geheimnissen zu durchsuchen. Bromure Agentic Coding wurde für einen Agenten gebaut, der genau das tut.
Am 8. Juli 2026 brachte npm seine größte Sicherheitsänderung seit sechzehn Jahren heraus — Installationsskripte standardmäßig deaktiviert. Innerhalb einer Woche verlagerten zwei separate npm-Kompromittierungen ihre Nutzlast so, dass sie beim Import des Pakets zündet statt bei der Installation, und umgingen damit direkt den neuen Standard und --ignore-scripts. Der Mechanismus, den das Ökosystem gerade ein Jahr lang zu beobachten gelernt hatte, hatte sich bereits verschoben. Das Einzige, was sich nicht verschob, war das Alter der bösartigen Version — und genau dieses Signal prüft Bromures Altersschwelle.
Friendly Fire vom AI Now Institute zeigte einen Coding-Agenten, der eine nicht vertrauenswürdige Bibliothek prüfen sollte, eine README las, die ein Sicherheitsskript empfahl, es ausführte — und so den Host kompromittierte: keine Genehmigungsabfrage, kein CVE im Modell. Die Forschenden sagen, das lasse sich nicht auf Modellebene beheben, und der einzige echte Zug sei, einen Agenten, der nicht vertrauenswürdigen Code aufnimmt, gar nicht erst an deine Schlüssel, Geheimnisse oder deinen Host zu lassen. Das ist eine Beschreibung dessen, wo Bromure Agentic Coding den Agenten laufen lässt.
Sophos hat eine Woche Endpoint-Telemetrie ausgewertet und festgestellt, dass KI-Coding-Agenten dieselben Regeln auslösen, die Angreifer erwischen sollen. Mehr als die Hälfte der blockierten Aktivität war Zugriff auf Credentials — Agenten, die die gespeicherten Passwörter des Browsers entschlüsseln, den Windows-Credential-Tresor leeren, Browser-Prozesse beenden, um deren Speicher auszulesen. Das Verhalten ist riskant, egal wer es startet. Es erreicht diese Speicher nur, weil der Agent auf deiner Maschine läuft, als du, mit deiner Reichweite. Verschiebe den Agenten einen Hypervisor weit weg, und es gibt auf dem Endpoint nichts mehr, das er erreichen kann.
GhostApproval zeigte, wie ein feindliches Repository sechs KI-Coding-Assistenten dazu bringen kann, Dateien außerhalb des Ordners zu schreiben und zu lesen, in dem sie eigentlich bleiben sollten: SSH-Schlüssel pflanzen, den Shell-Start kapern und Cloud-Credentials auf der eigenen Maschine des Entwicklers lesen. Der Bug ist ein Symlink-Folge-Fehler. Weh tut er, weil der Agent auf einer Maschine voller deiner Secrets läuft. Bromure Agentic Coding ändert diese zweite Tatsache.
Noma Securitys GitLost zeigte, wie ein nicht authentifizierter Fremder ein öffentliches GitHub-Issue öffnet und GitHubs KI-Agent dazu bringt, den Inhalt eines privaten Repositorys als öffentlichen Kommentar zurückzuposten. Die Prompt Injection machte die Schlagzeile. Der Token des Agents, gescoped auf die gesamte Organisation statt auf das eine Issue, das er triagierte, bestimmte, wie weit das Leak reichen konnte. Diese Lücke zwischen dem, was eine Aufgabe braucht, und dem, was die Umgebung hält, ist der Teil, den man mitnehmen sollte, und der Teil, den du anders designen kannst, wenn du den Agent selbst hostest.
CVE-2026-21852 war ein gepatchter Bug in Claude Code: Ein Repository konnte ANTHROPIC_BASE_URL in seinen Projekteinstellungen setzen, und der Agent schickte seinen eigenen Anthropic-API-Key, im Klartext, an den Server des Angreifers, bevor du „diesem Ordner vertrauen“ beantwortet hattest. Der Angriff führte keinen Code aus und las nichts von deiner Platte; er änderte die Adresse, an die der Agent sein eines unverzichtbares Credential verschickt. Anthropic hat das Timing repariert. Bromure Agentic Coding hält diesen Schlüssel ganz aus der Welt des Agents heraus.
Lassen Sie zwei Coding-Agenten auf einem Repo laufen, und sie geraten sich am selben Working Tree in die Quere. Git worktrees lösen das mit N unabhängigen Checkouts über einer gemeinsamen Historie. Bromure Agentic Coding macht sie zu einem Ein-Klick-Primitiv: Sie tippen einen Task-Namen und bekommen einen isolierten Branch, einen isolierten Checkout und einen Agenten, der daran arbeitet, jeweils in einem eigenen Tab innerhalb einer wegwerfbaren VM.
Am 1. Juli 2026 legten die Cato AI Labs DuneSlide offen: zwei kritische Bugs in Cursor (CVE-2026-50548 und CVE-2026-50549, beide CVSS 9.8), bei denen eine Prompt Injection, die in einem MCP-Tool-Ergebnis oder einem Web-Suchschnipsel ankommt, das Tool run_terminal_cmd und einen Symlink-Fallback dazu bringt, Cursors eigenen Sandbox-Helper zu überschreiben. Der Wächter verstummt von innen, und das nächste Kommando läuft als der Entwickler, mit Reichweite in jede Cloud oder SaaS, bei der der Editor angemeldet ist. Keine Nutzerinteraktion, gepatcht in Cursor 3.0. Das ist eine Geschichte darüber, wohin eine Grenze gehört: In Bromure Agentic Coding landet derselbe Ausbruch innerhalb einer wegwerfbaren VM, die ausgebrochene Shell findet ausgetauschte Stubs, wo die echten Tokens sein sollten, und PromptGuard bewertet diese nicht vertrauenswürdigen Inhalte auf der Leitung, bevor das Modell überhaupt darauf reagiert.
Ein Entwickler, der Claude Code laufen ließ, sah zu, wie eine Prompt Injection auf der Ausgabe eines im Hintergrund laufenden `find` mitritt, seine eigene Stimme annimmt und den Plan des Agents umschreibt, bevor er ein Wort getippt hatte. Nichts ging kaputt — eine referenzierte Datei existierte zufällig nicht. Genau dieses Versagensmuster ist Bromure Agentic Coding gebaut zu schließen: die fehlende Grenze zwischen dem, was du angewiesen hast, und dem, was der Agent bloß gelesen hat.
Am 25. Juni 2026 hat 0DIN einen Proof of Concept veröffentlicht, bei dem ein ganz normal aussehendes GitHub-Repository überhaupt keine Malware enthielt. Die Reverse Shell lebte in einem DNS-TXT-Record, den das Repository nachschlug, drei Schritte entfernt von allem, was Claude Code las, und der Agent führte sie aus, während er sich von einem routinemäßigen Setup-Fehler erholte. Die Nutzlast, die deine Scanner und dein Code-Review nie zu sehen bekommen, ist die, die niemand committet hat, und was über den Ausgang entscheidet, ist, ob der Agent auf deinem Laptop läuft oder einen Hypervisor entfernt davon.
Am 26. Juni 2026 veröffentlichte Wiz CVE-2026-12957: Die `.amazonq/mcp.json` eines geklonten Repositorys brachte Amazon Q dazu, MCP-Server automatisch zu starten, die die vollständige Umgebung des Entwicklers aus AWS-Schlüsseln, Cloud-CLI-Tokens, API-Geheimnissen und SSH-Agent-Sockets erbten — ohne separaten Zustimmungsschritt für die Server selbst. Ein einziger Klick auf „diesem Workspace vertrauen“ stand stellvertretend für das Starten von Hintergrundprozessen, die deine aktive Cloud-Sitzung trugen. Amazon hat es in Language Servers 1.69.0 gepatcht. Hier ist, warum der Fix ein Produkt schließt, aber nicht die Klasse, und was sich ändert, wenn der Agent, der das Repo öffnet, in einer Bromure-VM pro Profil lebt, hinter einem Credential-Broker, einem Read-Write-Guardrail und einer Trace auf Hypervisor-Ebene.
Ein Baukasten namens Bluekit baut keine gefälschte Anmeldemaske mehr. Er streamt Ihnen die echte aus einem Browser, den der Angreifer kontrolliert, kapert Ihre Sitzung in dem Moment, in dem Sie sich anmelden, und geht an MFA vorbei. Ein Passkey stoppt ihn dort, wo ein geschärfter Blick für Fälschungen es nicht kann — deshalb lässt Bromure ein Profil ausschließlich Passkeys von Ihrem Mac teilen.
Zscaler hat eine Hintertür namens Edgecution gefunden, die in einem Microsoft-Edge-Fenster läuft, das das Opfer nie geöffnet hat, und dann Native Messaging nutzt — den legitimen Kanal, über den eine Erweiterung mit einer Desktop-App spricht — um Befehle auf dem Host auszuführen. Die Frage, die es wert ist gestellt zu werden, lautet: Was erreicht diese Brücke zum Host, wenn der Browser in einer wegwerfbaren VM lebt?
OpenRouter hat ein bemerkenswertes Ergebnis veröffentlicht: Ein Panel aus Modellen, beurteilt und synthetisiert, schlägt jedes einzelne Spitzenmodell. Wir haben diese Technik von Grund auf in Bromure Agentic Coding nachgebaut — nichts läuft über OpenRouter. Da das Produkt ohnehin auf der Leitung zwischen Ihrem Coding-Agenten und den Modell-APIs sitzt, setzt Version 3.0 unser eigenes Fusion genau dorthin. Legen Sie das ⚡ in der Titelleiste um, und jeder Prompt wird von bis zu drei Modellen gleichzeitig beantwortet. Ein Judge gleicht sie ab, ein Synthesizer schreibt das Ergebnis, und Claude Code bekommt eine Antwort zurück, als hätte ein einzelnes Modell sie verfasst. Sie bringen Ihre eigenen Keys oder Abos mit, und der Trace hält jeden Leg fest.
Bromure lässt zwei On-Device-Klassifikatoren über alles laufen, was sein Coding-Agent liest. Prompt Injection in Tool-Output und Web-Abrufen übernimmt Metas Llama Prompt Guard 2. Eine manipulierte CLAUDE.md braucht ein völlig anderes Modell — Injection-Erkennung schlägt auf jeder Zeile einer Datei an, die komplett aus Anweisungen bestehen soll —, also haben wir stattdessen ModernBERT zur Harm-Klassifikation feinabgestimmt. Das ist die vollständige Pipeline: ein gutartiges Korpus ernten, bösartige Beispiele synthetisieren, Fensterung auf Klausel-Ebene, der Trainings-Loop und der ONNX-Export, detailliert genug zum Reproduzieren.
Eine Sandbox verlangt vom Entwickler, genau die Geschwindigkeit aufzugeben, die einen Coding-Agenten überhaupt erst lohnenswert macht — jede Abhängigkeit vorab freigeben, eine Allowlist von Domains pflegen, niemals ein Paket anfassen, das die Organisation nicht geprüft hat. Also schalten Entwickler sie ab. Bromure Agentic Coding lehnt diesen Handel ab. Es schränkt nicht ein, was der Agent tut; es zieht eine einzige harte Linie am Hypervisor und lässt dich auf der Innenseite alles tun. Dies ist die grundlegende Begründung, warum eine Grenze eine Sandbox schlägt, und die drei Garantien, die die Grenze wahr macht: keine Credentials zum Stehlen, breite Tokens am Draht verengt und Supply-Chain-Angriffe gestoppt, bevor das Tarball landet — plus die vierte, die die Linie jetzt wahr macht: Prompt-Injektionen, abgefangen in den Inhalten, die der Agent liest, bevor das Modell ihnen gehorcht.
Am 5.–6. Juni 2026 schob der Miasma-Wurm credential-stehlenden Code in 73 Repositories über vier von Microsofts eigenen GitHub-Organisationen — Azure, Azure-Samples, microsoft, MicrosoftDocs — darunter Azure/functions-action, die offizielle Deploy-Action, und durabletask, ein Repo, das im Mai bereits einmal bereinigt worden war. Diesmal wartete die Nutzlast nicht auf npm install. Sie feuerte in dem Moment, in dem ein Entwickler das Repository in Claude Code, Cursor, Gemini CLI oder VS Code öffnete. Hier ist, warum das Vertrauenssignal — „es ist ein Microsoft-Repo“ — erneut die Angriffsfläche war, und was sich ändert, wenn der Agent, der es öffnet, in einer Bromure-VM pro Profil lebt, hinter einem Credential-Broker, einem Read-Write-Guardrail und einem Paket-Cooldown.
Ende April wurde ein Cursor-Agent mit Claude Opus 4.6 losgeschickt, um ein Staging-Problem bei einem kleinen SaaS namens PocketOS zu beheben. Er nahm an, das Löschen eines Railway-Volumes wäre auf Staging beschränkt, verifizierte das nicht und löschte in neun Sekunden die Produktionsdatenbank samt ihrer Backups. Später sagte er, er hätte zuerst fragen sollen. Bromure Agentic Coding 2.2 liefert einen Guardrail, der das „Hätte fragen sollen“ aus der Hand des Agenten nimmt.
Ein Zero-Day in github.dev ließ ein bösartiges Vorschau-Panel aus seiner Sandbox ausbrechen, still eine Erweiterung installieren und einen GitHub-OAuth-Token mit Zugriff auf jedes private Repo lesen, das das Opfer erreichen konnte. Der Fix ist ehrlich über seine Grenzen — der schärfere Zug ist, den Token gar nicht erst in das Repo eines Fremden mitzubringen.
Zwischen Ende Mai und dem 1. Juni 2026 schob ein Wurm namens Miasma credential-stehlenden Code in 32 Pakete unter dem npm-Scope @redhat-cloud-services — Red Hats eigener Namespace, ~117.000 wöchentliche Downloads, signiert von Red Hats echter Publishing-Pipeline. Es gab keinen Typosquat zu erwischen und keinen unbekannten Maintainer zu markieren. Das Vertrauenssignal war der Name des Anbieters auf dem Scope, und der Name des Anbieters ist genau das, worauf der Angreifer hereinritt. Hier ist, warum „bevorzuge seriöse Publisher“ aufhörte, eine Verteidigung zu sein, und was sich ändert, wenn der Agent, der die Installation ausführt, in einer Bromure-VM pro Profil lebt.
Eine neue Kampagne mietet das Vertrauen einer Domain, an die Sie längst glauben. Eine Google-Anzeige schickt Sie zu einem echten chatgpt.com-Share-Link, der Share-Link zeigt eine gefälschte Ausfallmeldung, und die Meldung reicht Ihnen Malware. So wird das Vertrauen geliehen — und warum das Leihen bedeutungslos wird, wenn das Ganze in einer VM passiert, die man wegwirft.
Google hat letzte Woche versehentlich einen vier Jahre alten Chromium-Bug erneut veröffentlicht — einen Service Worker, der nach dem Schließen des Browsers weiterhin JavaScript ausführt, in jedem großen Chromium-Browser, immer noch ungepatcht. Der Proof-of-Concept kursiert nun frei im Netz. Die interessante Frage ist nicht, wie er funktioniert. Sondern: Was bedeutet „Persistenz“ auf einem Browser, dessen gesamte zugrunde liegende Maschine aufhört zu existieren, sobald Sie den Tab schließen?
Am 18. Mai 2026 hat Lasso Security zwei Angriffe gegen Nvidias NemoClaw veröffentlicht — die Sandbox, in der der autonome Coding-Agent OpenClaw läuft. Die Sandbox arbeitete genau so, wie Nvidia sie beschrieben hatte. Der Agent in der Sandbox schob trotzdem das GitHub-Token des Nutzers an einen vom Angreifer kontrollierten Pull Request, als Emoji codiert, um an GitHubs statischem Secret-Scanner vorbeizurutschen. Die interessante Frage ist nicht, ob die Sandbox kaputt ist. Sie lautet: war eine Sandbox mit einer Klartext-Credential-Datei darin überhaupt jemals eine Sandbox in einem architektonisch nützlichen Sinn — und was bedeutet die Antwort für alle, die 2026 einen Coding-Agent ausliefern.
Irgendwann in der Woche des 11. Mai 2026 haben die Leute hinter Shai-Hulud — dem selbstreplizierenden npm-Supply-Chain-Wurm, der seit September 2025 Maintainer-Konten frisst — ihren eigenen Quellcode geleakt. Bis zum Wochenende hatte OX Security vier typosquattete npm-Pakete unter einem Konto gefunden, von denen eines eine fast wortwörtliche Kopie des geleakten Wurms ist, ein weiteres ein Golang-DDoS-Bot, und die anderen beiden schlichte Infostealer, die SSH-Schlüssel und Krypto-Wallets an Schnäppchen-C2s schicken. Die Einstiegshürde für Supply-Chain-Angriffe ist gerade massiv gesunken, und die Personen, die am ehesten eines dieser Pakete installieren, sind keine Menschen mehr.
Uber hat sein Jahresbudget 2026 für KI-Coding bereits im April aufgebraucht. Der CTO ging zurück ans Reißbrett – nicht weil die Tools schlecht waren, sondern weil niemand auch nur einen einzigen Dollar Token-Ausgaben einer einzigen ausgelieferten Änderung zuordnen konnte. Die Agenten sind in Ordnung. Das Problem ist die Sichtbarkeitsebene. Hier sehen Sie, wie das aussieht – und was sich ändert, wenn jede Agentensitzung ein strukturierter Datensatz ist statt einer Wand voller Scrollback.
Am 11. Mai 2026 fügte ein npm-Wurm namens Mini Shai-Hulud eine optionalDependencies-Zeile zu 42 Paketen im @tanstack-Namespace hinzu. Die Installation eines davon führte ein Bun-Skript aus, das ein OIDC-Token aus der GitHub Actions-Umgebung abgriff, es nutzte, um weitere kompromittierte Versionen mit gültiger SLSA-Provenienz zu veröffentlichen, sich selbst für das nächste Mal in .claude/ kopierte, wenn der Coding-Agent startete, und alles von ~/.aws bis zu Ihrer Krypto-Brieftasche exfiltrierte. Die Pakete waren signiert. Die Attestierung war gültig. Hier sehen Sie, wie die Kette aussieht und was sich ändert, wenn der Agent, der die Installation durchführte, in einer per-Task Bromure VM läuft.
Apple hat am 11. Mai 2026 macOS Tahoe 26.5 veröffentlicht – mit rund siebzig Sicherheitskorrekturen, darunter zehn WebKit-Schwachstellen. Wir gehen die WebKit-Liste Schwachstellenklasse für Schwachstellenklasse durch und stellen die einzige Frage, die im Jahr 2026 zählt: Wohin reicht dieser Fehler eigentlich, auf einem Rechner, auf dem Bromure läuft?
Am 22. April hat jemand ein bösartiges npm-Paket namens @bitwarden/[email protected] hochgeladen — einen Typosquat, der SSH-Keys, AWS/Azure/GCP-Credentials, GitHub-Tokens, npm-Publish-Tokens und Kubeconfigs aus jeder Maschine fegte, die es ausführte. Worauf das Paket abgesehen hat, ist genau das, was moderne Coding-Agents ohne nachzudenken tun: alles installieren, was npm zurückliefert. Hier ist, wie diese Kette aussieht — und was sich ändert, wenn der Agent stattdessen in einer Bromure-VM läuft.
Eine neue Erpressergruppe namens BlackFile ruft Mitarbeitende im Einzelhandel und in der Hotellerie an, gibt sich als IT aus, lotst sie dazu, Zugangsdaten und OTPs in eine gefälschte Login-Seite des Unternehmens einzutippen, und registriert anschließend ein eigenes MFA-Gerät auf dem echten Konto. Der Anruf lässt sich von keinem Browser beeindrucken. Die Seite, in die der Nutzer tippt, schon.
Der diese Woche bekannt gewordene Vercel-Einbruch begann damit, dass ein Context.ai-Mitarbeiter auf einem privaten PC Roblox-Exploits herunterlud, und endete damit, dass ein Angreifer die Kundendatenbank mit Umgebungsvariablen von Vercel auslas. Bromure Enterprise, diese Woche veröffentlicht, ist genau für diese Kette gebaut.
Der Q1-2026-IR-Bericht von Cisco Talos rückt Phishing wieder an die Spitze der Erstzugangs-Vektoren — und darin dokumentiert er den ersten Fall, den Talos einem KI-gestützten „Vibe-Coding“-Baukasten zuschreibt — einen Outlook-Web-Access-Klon, der auf einer `*.softr.app`-Subdomain steht und Zugangsdaten in ein wegwerfbares Google Sheet abfließen lässt. URL-Reputation kann das nicht kommen sehen. Die richtige Antwort liegt weiter unten im Stack.
Eine frühe Version von Claude Mythos hat Mozilla geholfen, in einem einzigen Firefox-Release 271 Sicherheitslücken zu finden. Die richtige Reaktion ist weder Panik noch Jubel — sondern eine leise Neujustierung dessen, wovon wir bei jedem Browser weiterhin ausgehen müssen, den wir ausliefern, nutzen oder auf dem wir aufbauen.
Ein gefälschtes CAPTCHA schreibt einen PowerShell-Einzeiler in die Zwischenablage. Der Nutzer drückt Win+R und fügt ein. Kein Sandbox-Ausbruch, kein Zero-Day, kein signiertes Binary nötig – der Mensch ist der Exploit. Hier ist, was wir heute dagegen ausliefern, wo die Lücken noch sind und was Apple in macOS 26.4 richtig und falsch gemacht hat.
Microsoft hat eine neunstufige Ransomware-Kette dokumentiert, die mit einer externen Teams-Nachricht beginnt, die sich als Helpdesk ausgibt, und damit endet, dass Rclone still und leise den Netzwerk-Share exfiltriert. Acht dieser neun Schritte brauchen das Host-Betriebssystem. Keiner von ihnen kann gegen einen Tab laufen.
Ein einzelner Betreiber hat 108 bösartige Erweiterungen unter fünf gefälschten Publisher-Identitäten in den Chrome Web Store gepumpt, rund 20.000 Installationen eingesammelt und das Ganze über einen einzigen Command-and-Control-Server geleitet. Das Review-Modell hat es nicht bemerkt. Hier ist, warum ein sicherheitsorientierter Browser eine härtere Haltung einnehmen muss.
Ein Schritt-für-Schritt-Blick auf den Phishing-Schutz von Bromure — der lokale Scan, das Modell, die Einstufung und warum Ihre Eltern, Ihre Großeltern und der Nachbar von gegenüber genau diejenigen sind, für die wir ihn gebaut haben.
LinkedIn tastet im Stillen über 6.000 Browser-Erweiterungen ab, sammelt 48 Geräteattribute und greift bei jedem Besuch per WebRTC Ihre LAN-IP ab. Die Lösung ist keine Datenschutzeinstellung – sie ist ein Browser anderer Bauart.
Das Web ist feindselig, Sicherheitsratschläge greifen nicht mehr, und KI hat die Spielregeln verändert. Darum haben wir einen Browser gebaut, der die Last von Ihren Schultern nimmt.
Apple und Google geben inzwischen jedes Jahr zweistellige Millionenbeträge aus, um Browser-Fehler zu finden und zu beheben. Trotzdem werden jedes Jahr acht bis zehn Browser-Zero-Days aktiv ausgenutzt. Dieser Beitrag zeigt, warum sich an dieser Rechnung nichts ändert, wie Claude Mythos und die „Vulnpocalypse” alles noch schlimmer machen – und warum ein Browser, der von einer Kompromittierung ausgeht, eine andere Art von Produkt ist.
Die meisten Werbeblocker sind Browser-Erweiterungen, und die meisten Browser-Erweiterungen laufen im selben Prozess wie die Seite, vor der sie Sie schützen sollen. Bromure macht es anders. Hier erfahren Sie, wie – und warum das einen Unterschied macht.
Die meiste Ransomware beginnt nicht mit einem Zero-Day. Sie beginnt mit einem Browser-Tab. So funktioniert die Angriffskette 2026 wirklich – und so sieht sie aus, wenn sie auf einen Browser trifft, der gebaut wurde, um den Schlag einzustecken.
Was ein VPN tatsächlich leistet, was nicht, warum ein VPN pro Profil in Bromure die Anonymitätsrechnung verändert, und ein Rundgang durch die Funktionsweise von Cloudflare WARP.