ClaudeBleed: إضافة بلا صلاحيات تختطف Claude for Chrome

في الثامن من مايو 2026، أفاد كل من CyberScoop وSecurityWeek وCSO Online بالنتيجة نفسها التي توصلت إليها شركة أمن المتصفحات LayerX: وهي أن إضافة Claude in Chrome من Anthropic كانت تقبل تعليمات من أي إضافة Chrome أخرى مثبتة في المتصفح نفسه، بما في ذلك إضافة لا تطلب أي أذونات على الإطلاق. أطلقت LayerX على العيب اسم ClaudeBleed، وأثبتت أنه كان يدفع الوكيل إلى سحب ملفات من Google Drive ومشاركتها مع طرف خارجي، وقراءة Gmail وإرسال رسائل منه، ونسخ شيفرة من مستودع GitHub خاص. وطالت المخاطرة كل من يشغّل الإضافة مع منحها التحكم في المتصفح وربط Google أو GitHub؛ ولم يُسجّل أي استغلال فعلي في العالم الواقعي. ويؤرخ الأرشيف هذا السجل في 12 مايو 2026، وهو اليوم الذي أصدر فيه CSIRT التابع لقطاع الصحة في كولومبيا التنبيه 099 بشأن العيب نفسه. أما السجل الكامل، بما في ذلك درجات الخطورة والثقة والضرر الخاصة بالأرشيف، فيوجد في Orca AI Incident Archive، إلى جانب مدخلات وكيل المتصفح واختطاف الإضافات المجاورة له.

حدّ الثقة الذي تقول LayerX إنه كان مفقودًا

تعمل إضافة Anthropic على claude.ai، وبمجرد أن يمنحها المستخدم التحكم في المتصفح، يمكنها تنفيذ إجراءات داخل علامات تبويب أخرى. لم يكن اكتشاف LayerX أن النموذج يمكن إقناعه بسوء التصرف، بل أن آلية الربط الداخلية للإضافة سمحت لجهة استدعاء لم تتحقق منها قط بالوصول إلى النموذج على الإطلاق. كتب الباحث في LayerX، آفياد جيسپان، في التقرير الذي استشهد به CyberScoop: «ينبع الخلل من تعليمة في شيفرة الإضافة تسمح لأي سكربت يعمل في المتصفح الأصلي بالتواصل مع نموذج Claude اللغوي الكبير، لكنها لا تتحقق من هوية من يشغّل السكربت». وأضاف: «ونتيجة لذلك، يمكن لأي إضافة استدعاء سكربت محتوى (لا يتطلب أي أذونات خاصة) وتوجيه أوامر إلى إضافة Claude».

يصف تقرير SecurityWeek النقطة ذاتها بمصطلحات Chrome نفسها: فقد وثقت الإضافة بأصل التنفيذ — claude.ai — بدلاً من سياق التنفيذ. ولا يحتاج امتداد المهاجم إلا إلى الإعلان عن سكربت محتوى مُهيَّأ للعمل في العالم الرئيسي للصفحة، بحيث يُنفَّذ السكربت كجزء من claude.ai، ثم يرسل رسالته. وهكذا يرى امتداد Claude مُرسِلًا على الأصل الموثوق فيمتثل. ووصف جيسپان النتيجة بأنها «بدائية لتصعيد الامتيازات عبر الامتدادات، وهو أمر صُمّم نموذج الأمان في Chrome صراحةً لمنعه».

ما الذي فعله إثبات المفهوم في الواقع

ذكرت CyberScoop أن Gispan كان قادرًا على تنفيذ أي توجيه يختاره، وتجاوز ضوابط الأمان لدى Claude، والتهرب من خطوة تأكيد المستخدم، والتصرف عبر عدة أدوات من Google. وكانت العروض التوضيحية ملموسة: استخراج ملفات من مجلدات Google Drive ومشاركتها مع أطراف غير مصرح لها، ومراقبة نشاط البريد الإلكتروني الأخير وإرسال بريد نيابة عن المستخدم، وأخذ شيفرة مصدرية خاصة من مستودع GitHub متصل.

التجاوزات هي الجزء الذي يستحق التوقف عنده. فقد أفادت SecurityWeek بأن LayerX زوّرت موافقة المستخدم عبر إعادة إرسال رسالة تأكيد مرارًا وتكرارًا — وهو ما يُعرف بحلقة الموافقة — واستخدمت التلاعب بـ DOM لتغيير ما يستطيع Claude رؤيته، بإزالة العناوين والمؤشرات المحيطة بعناصر حساسة مثل كلمات المرور وتغذية راجعة المشاركة، بحيث بدت الإجراءات مشروعة من داخل منظور الوكيل نفسه. ولهذا قال أكس شارما، رئيس الأبحاث في Manifold Security، لـ CyberScoop إن "الجزء الأكثر تطورًا في هذا الهجوم ليس الحقن، بل أن البيئة المدركة لدى الوكيل جرى التلاعب بها لإنتاج إجراءات بدت مشروعة من الداخل".

أُبلغ عنه في 27 أبريل، واعتُبر مكررًا، وأُصلح جزئيًا في 6 مايو

أفادت CyberScoop بأن LayerX أبلغت Anthropic بالثغرة في 27 أبريل 2026. وردّت Anthropic بعد يوم قائلة إن الخلل مكرر لثغرة أخرى يجري معالجتها بالفعل في تحديث مستقبلي. وقد صدر ذلك التحديث، الإصدار 1.0.70، في 6 مايو وأدخل تدفقات موافقة جديدة للإجراءات المميزة.

موقف LayerX، كما نقلت SecurityWeek، هو أن الإصلاح عالج عَرَضًا فقط. أضافت Anthropic فحوصًا داخلية لمنع الإضافات التي تعمل في الوضع "standard" من تنفيذ أوامر عن بُعد، لكنها أبقت معالج الرسائل الأساسي في مكانه. بدّل الإضافة إلى الوضع "privileged" — وهو ما قال Gispan إنه يحدث دون إشعار المستخدم أو طلب موافقته — وعاد الاختطاف للعمل. أفادت CyberScoop بأن Gispan كان لا يزال قادرًا على الاستيلاء على الوكيل في بعض السيناريوهات بعد الترقيع. لخّص فريق الاستجابة لحوادث الحاسوب في قطاع الصحة الكولومبي، CSIRT Salud، الادعاء نفسه في التنبيه 099: قال الباحثون إنهم تجاوزوا التخفيفات الأولية في نحو ثلاث ساعات.

ما الذي ثبت، وما الذي لا يعدو كونه مجرد ادعاء

يصنّف الأرشيف هذا السجل بوصفه بحثًا، والخطورة متوسطة، والثقة B، وغير متنازع عليه، دون تسجيل أي ضرر حقيقي مع تأكيد مشاركة الذكاء الاصطناعي. هذه التقييمات جديرة بأن تُقرأ حرفيًا. تعود كل رواية عن العيب الأصلي إلى مصدر واحد، هو تقرير LayerX نفسه. ويعيد كل من CyberScoop وSecurityWeek وCSO Online وCPO Magazine صياغته، ولا يورد أي من التقارير الأربعة إعادة إنتاج مستقلة. التأكيد هنا يعني أن الإفصاح حقيقي ويوصف باتساق عبر المنافذ الإخبارية؛ ولا يعني أن مختبرًا ثانيًا أكّد الآلية في مايو.

ولا يوجد أيضًا CVE. لا يظهر أي معرّف في أي من التغطيات التي روجعت هنا أو في إشعار CSIRT Salud؛ إذ تُتبَّع الثغرة عبر إصدار الإضافة بدلًا من ذلك. لم تنشر Anthropic أو LayerX أي رقم بشأن عدد المستخدمين الذين كانت الإضافة مثبتة لديهم، أو عدد الذين كان لديهم Google أو GitHub متصلًا. لم ترد Anthropic على طلب CyberScoop للتعليق، ولا يتضمن التقرير أي بيان من البائع ينازع في رواية LayerX.

هناك أمران في هذا السجل جديران بالإشارة إليهما بدلاً من تلطيفهما. درجات الخطورة لا تتفق: يصنّفه الأرشيف على أنه متوسط، بينما وصفت كتابة LayerX الثغرةَ بأنها حرجة، وقيّم CSIRT Salud تنبيهه بـ«Alto» — أي مرتفع. تلك ثلاثة أحكام من ثلاثة أطراف، وهذا المقال لا يحوّل أحدها إلى الآخر. والوثيقة الأساسية لم تعد متاحة على الإنترنت: فمنشور مدونة LayerX يعيد الآن خطأ 404 على موقع يحمل لافتة استحواذ Akamai، لذا لا يبقى التقرير التقني هنا إلا في الاقتباسات التي نشرتها CyberScoop وSecurityWeek وCPO Magazine.

ماذا حدث بعد ذلك: لا يزال غير مكتمل في يوليو

واصل أكس شارما من Manifold Security، الذي كان قد علّق على الإفصاح الأصلي، البحث. وفي مقال نُشر في 14 يوليو 2026، قالت Manifold إنها أبلغت Anthropic بمشكلتين إضافيتين في 21 مايو 2026 بخصوص الإصدار 1.0.72 من الإضافة، وإن كلتيهما ما زالتا تتكرران في الإصدار 1.0.80 الذي صدر في 7 يوليو.

كان الأول تجاوزًا عبر نقرة اصطناعية. وكان التخفيف الذي أجرته Anthropic قد استبدل نص المطالبة العشوائي بتسعة معرفات مهام مضمّنة ثابتة — منها usecase-gmail وusecase-gdocs وusecase-calendar وusecase-salesforce — يمكن لصفحة أن تُشغّلها لكن لا تستطيع إعادة كتابتها. وجد Manifold أن معالج النقر الذي يشغّلها لا يتحقق أبدًا من event.isTrusted، لذا يمكن لأي سكربت محتوى على claude.ai إنشاء الزر، وتعيين معرف المهمة، وإرسال نقرة مزيفة. في الوضع الافتراضي "اسأل قبل التصرف" لا يزال المستخدم يرى مطالبة بالموافقة؛ وعند تفعيل "التصرف دون سؤال"، تتم القراءة بصمت. صنّف Manifold ذلك المسار بـ CVSS 7.7 في الوضع الافتراضي و9.6 في الوضع الصامت، وشدد على أن الخلل يكمن في الإضافة وليس في النموذج، مع إعادة إنتاجه عبر اختيارات نماذج Opus وSonnet وFable في اللوحة الجانبية.

كان الثاني متعلقًا بالبنية المعمارية. تقرأ اللوحة الجانبية معامل skipPermissions=true من عنوان URL الخاص بها، وتُقلع في وضع تخطّي جميع فحوصات الأذونات دون أي إيماءة من المستخدم أو خطوة موافقة. وقالت Manifold إن هذا المسار لم يكن قابلًا للاستغلال عن بُعد بمفرده في 1.0.80، لكنه يحوّل أي خطأ مستقبلي في بناء عنوان URL إلى تنفيذ خفي بصلاحيات مرتفعة. أغلقت Anthropic التقرير الأول باعتباره مشمولًا بالفعل بمشكلة حدود الثقة الداخلية — التي قالت الشركة إنها "لا تزال مفتوحة في انتظار إصلاح كامل" — وأغلقت الثاني باعتباره معلوماتيًا.

تنتمي درجات CVSS تلك إلى نتائج Manifold، وليس إلى ClaudeBleed الأصلي الخاص بـ LayerX، ولا ينبغي إعادة إسقاطها عليه. أما ما تثبته فهو أن مختبرًا مستقلًا، بعد أسابيع، كان لا يزال قادرًا على توجيه Claude انطلاقًا من سكربت إضافة أخرى. وهذا هو أقوى تأكيد متاح لفئة العيب التي وصفها LayerX، وإن لم يكن إعادة إنتاج لإثبات المفهوم الخاص بـ LayerX نفسه.

لماذا تكون الإضافة الخالية من الأذونات هي بيت القصيد

نموذج الإضافات في Chrome مبني على الأذونات المعلنة: فالإضافة التي لا تطلب شيئًا يُفترض ألا تصل إلى أي شيء تقريبًا. وقد عكس ClaudeBleed ذلك بجعل المساعد هو الكيان الذي يحمل الأذونات، ثم السماح لجهة استدعاء بلا أذونات باستعارتها. وتوصيف Gispan، كما نقلت عنه CyberScoop، هو أن هذا الخلل "يكسر أمن إضافات Chrome فعليًا" عبر إنشاء أولية لتصعيد الامتيازات تمتد بين الإضافات.

بالنسبة للمدافعين، فإن الخلاصة العملية هي تلك التي أشار إليها Sharma: مراقبة تدفق الموجّهات لا تفيد حين يكون المهاجم قد غيّر ما يعتبره الوكيل واجهته الخاصة. أما الإجراءات الظاهرة فهي نقرات المستخدم وتأكيداته هو، معاد تشغيلها أو ملفقة. وكان الاتجاه الذي اقترحته LayerX، وفقًا لـ CPO Magazine، هو رموز مصادقة من الإضافة إلى الصفحة لربط المستدعين، إضافة إلى موافقات حقيقية من المستخدم. هذا إصلاح تقني أساسي، وليس إصلاحًا لسلوك النموذج.

وفقًا للتقارير التي جرى مراجعتها هنا، لم يظهر أي تنبيه عام من Anthropic بشأن ClaudeBleed. ويظل السجل قائمًا كنتيجة بحثية تتضمن إثبات مفهوم مُوضَح، وإصلاحًا جزئيًا يقول الباحثون إنه جرى تجاوزه في غضون ساعات، وثغرة متبقية أفادت شركة ثانية بأنها لا تزال مفتوحة في يوليو.