ClaudeBleed: Eine Erweiterung ohne Berechtigungen kapert Claude for Chrome

Am 8. Mai 2026 berichteten CyberScoop, SecurityWeek und CSO Online jeweils über denselben Befund des Browser-Sicherheitsunternehmens LayerX: Die Claude-Erweiterung für Chrome von Anthropic würde Anweisungen von jeder anderen im selben Browser installierten Chrome-Erweiterung akzeptieren, einschließlich einer, die überhaupt keine Berechtigungen anfordert. LayerX nannte die Schwachstelle ClaudeBleed und demonstrierte, wie sie den Agenten dazu brachte, Dateien aus Google Drive abzurufen und sie an eine außenstehende Partei weiterzugeben, Gmail zu lesen und zu versenden sowie Code aus einem privaten GitHub-Repository zu kopieren. Betroffen war jeder, der die Erweiterung mit erteilter Browsersteuerung und verbundenem Google oder GitHub ausführte; eine Ausnutzung in der Praxis wurde nicht verzeichnet. Das Archiv datiert diesen Eintrag auf den 12. Mai 2026, den Tag, an dem das CSIRT des kolumbianischen Gesundheitssektors die Warnung 099 zu derselben Schwachstelle herausgab. Der vollständige Eintrag, einschließlich der eigenen Einstufungen des Archivs für Schweregrad, Konfidenz und Schaden, befindet sich im Orca AI Incident Archive, zusammen mit den Browser-Agent- und Extension-Hijack-Einträgen, die ihn umgeben.

Die Vertrauensgrenze, die LayerX zufolge fehlte

Die Erweiterung von Anthropic läuft auf claude.ai und kann, sobald der Nutzer ihr die Browsersteuerung gewährt, in anderen Tabs agieren. Die Erkenntnis von LayerX war nicht, dass man das Modell zu Fehlverhalten überreden konnte, sondern dass die interne Verdrahtung der Erweiterung es einem Aufrufer, den sie nie überprüft hatte, überhaupt ermöglichte, das Modell zu erreichen. „Die Schwachstelle rührt von einer Anweisung im Code der Erweiterung her, die jedem im Ursprungsbrowser laufenden Skript erlaubt, mit Claudes LLM zu kommunizieren, aber nicht überprüft, wer das Skript ausführt“, schrieb der LayerX-Forscher Aviad Gispan in dem Bericht, aus dem CyberScoop zitiert. „Infolgedessen kann jede Erweiterung ein Content-Skript aufrufen (das keine besonderen Berechtigungen erfordert) und Befehle an die Claude-Erweiterung senden.“

SecurityWeeks Darstellung formuliert denselben Punkt in Chromes eigenen Begriffen: Die Erweiterung vertraute dem Ursprung der Ausführung – claude.ai – statt dem Ausführungskontext. Die Erweiterung eines Angreifers muss lediglich ein Content-Script deklarieren, das so konfiguriert ist, dass es in der Main World der Seite läuft, sodass das Skript als Teil von claude.ai ausgeführt wird, und dann seine Nachricht senden. Die Claude-Erweiterung sieht einen Absender auf dem vertrauenswürdigen Ursprung und kommt dem nach. Gispan beschrieb das Ergebnis als „ein Privilegieneskalations-Primitiv über Erweiterungen hinweg, etwas, dessen Verhinderung Chromes Sicherheitsmodell ausdrücklich dienen soll“.

Was der Proof of Concept tatsächlich bewirkt hat

CyberScoop berichtete, dass Gispan jeden Prompt seiner Wahl ausführen, die Sicherheitsleitplanken von Claude durchbrechen, den Nutzerbestätigungsschritt umgehen und über mehrere Google-Tools hinweg agieren konnte. Die Demonstrationen waren konkret: Dateien aus Google-Drive-Ordnern extrahieren und sie mit unbefugten Dritten teilen, die jüngste E-Mail-Aktivität überwachen und im Namen des Nutzers E-Mails versenden sowie privaten Quellcode aus einem verbundenen GitHub-Repository entnehmen.

Die Umgehungen sind der Teil, bei dem es sich lohnt, näher hinzuschauen. SecurityWeek berichtete, dass LayerX die Nutzergenehmigung fälschte, indem es wiederholt eine Bestätigungsnachricht erneut sendete – Approval-Looping –, und DOM-Manipulation nutzte, um zu verändern, was Claude sehen konnte, indem es Beschriftungen und Indikatoren rund um sensible Elemente wie Passwörter und das Freigabe-Feedback entfernte, sodass die Aktionen aus Sicht des Agenten selbst legitim aussahen. Deshalb sagte Ax Sharma, Forschungsleiter bei Manifold Security, gegenüber CyberScoop: „Der ausgeklügeltste Teil dieses Angriffs ist nicht die Injection, sondern dass die wahrgenommene Umgebung des Agenten manipuliert wurde, um Aktionen hervorzubringen, die von innen legitim aussahen.“

Gemeldet am 27. April, als Duplikat eingestuft, am 6. Mai teilweise behoben

CyberScoop zufolge meldete LayerX die Schwachstelle am 27. April 2026 an Anthropic. Anthropic antwortete einen Tag später und erklärte, der Fehler sei ein Duplikat einer anderen Sicherheitslücke, die bereits in einem künftigen Update behoben werde. Dieses Update, Version 1.0.70, erschien am 6. Mai und führte neue Genehmigungsabläufe für privilegierte Aktionen ein.

Die Position von LayerX, wie von SecurityWeek berichtet, ist, dass der Fix ein Symptom behandelte. Anthropic fügte interne Prüfungen hinzu, um zu verhindern, dass Erweiterungen, die im „Standard“-Modus laufen, entfernte Befehle ausführen, ließ aber den zugrunde liegenden Message-Handler an Ort und Stelle. Schaltet man die Erweiterung in den „privilegierten“ Modus — was laut Gispan geschieht, ohne dass der Nutzer benachrichtigt oder um Zustimmung gebeten wird —, funktionierte die Übernahme wieder. CyberScoop berichtete, dass Gispan nach dem Patch in einigen Szenarien immer noch den Agenten übernehmen konnte. Das Computer-Notfallteam des kolumbianischen Gesundheitssektors, CSIRT Salud, fasste dieselbe Behauptung in Alarm 099 zusammen: Die Forscher sagten, sie hätten die anfänglichen Gegenmaßnahmen in etwa drei Stunden umgangen.

Was feststeht und was nur behauptet wird

Das Archiv bewertet diesen Datensatz als Forschung, Schweregrad mittel, Konfidenz B, nicht umstritten, ohne verzeichneten tatsächlichen Schaden und mit bestätigter KI-Beteiligung. Diese Einstufungen sollte man wörtlich lesen. Jede Schilderung der ursprünglichen Schwachstelle lässt sich auf eine einzige Quelle zurückführen: LayerX’ eigenen Bericht. CyberScoop, SecurityWeek, CSO Online und CPO Magazine geben ihn alle wieder, und keiner der vier Berichte meldet eine unabhängige Reproduktion. Bestätigung bedeutet hier, dass die Offenlegung real ist und über die Publikationen hinweg konsistent beschrieben wird; sie bedeutet nicht, dass ein zweites Labor den Mechanismus im Mai bestätigt hat.

Auch gibt es keine CVE. In keinem der hier geprüften Berichte und auch nicht in der CSIRT-Salud-Warnung erscheint eine Kennung; die Schwachstelle wird stattdessen anhand der Erweiterungsversion verfolgt. Weder Anthropic noch LayerX haben Zahlen dazu veröffentlicht, wie viele Nutzer die Erweiterung installiert hatten oder wie viele Google oder GitHub verbunden hatten. Anthropic hat nicht auf die Bitte von CyberScoop um eine Stellungnahme reagiert, und in der Berichterstattung findet sich keine Anbietererklärung, die der Darstellung von LayerX widerspricht.

Zwei Punkte am Vorgang sollten eher benannt als beschönigt werden. Die Schweregrad-Einstufungen stimmen nicht überein: Das Archiv stuft ihn als mittel ein, LayerXs Bericht bezeichnete die Schwachstelle als kritisch, und CSIRT Salud stufte seine Warnung mit „Alto“ – hoch – ein. Das sind drei Bewertungen von drei Parteien, und dieser Artikel überführt nicht die eine Einstufung in die andere. Und das Primärdokument ist nicht mehr online: LayerXs Blogbeitrag liefert inzwischen auf einer Seite, die ein Banner zur Übernahme durch Akamai trägt, einen 404 zurück, sodass die technische Analyse hier nur noch in den Zitaten erhalten ist, die CyberScoop, SecurityWeek und CPO Magazine wiedergegeben haben.

Was danach geschah: im Juli noch nicht abgeschlossen

Ax Sharma von Manifold Security, der die ursprüngliche Offenlegung kommentiert hatte, suchte weiter. In einem am 14. Juli 2026 veröffentlichten Bericht erklärte Manifold, dass man am 21. Mai 2026 zwei weitere Probleme bei Anthropic in Bezug auf Version 1.0.72 der Erweiterung gemeldet habe und dass beide in Version 1.0.80, die am 7. Juli veröffentlicht wurde, weiterhin reproduzierbar seien.

Der erste war ein Bypass über synthetische Klicks. Die Gegenmaßnahme von Anthropic hatte beliebigen Prompt-Text durch neun fest codierte Aufgabenkennungen ersetzt – darunter usecase-gmail, usecase-gdocs, usecase-calendar und usecase-salesforce –, die eine Seite auslösen, aber nicht umschreiben konnte. Manifold stellte fest, dass der Click-Handler, der sie auslöst, niemals event.isTrusted prüft, sodass jedes Content-Script auf claude.ai den Button erstellen, die Aufgabenkennung setzen und einen gefälschten Klick auslösen kann. Im Standardmodus „Vor dem Handeln fragen“ sieht ein Benutzer weiterhin eine Genehmigungsaufforderung; mit aktiviertem „Ohne Nachfragen handeln“ erfolgt das Auslesen stillschweigend. Manifold bewertete diesen Pfad mit CVSS 7,7 im Standardmodus und 9,6 im stillen Modus und betonte, dass der Fehler in der Erweiterung und nicht im Modell liege, wobei er sich über die Modellauswahlen Opus, Sonnet und Fable in der Seitenleiste hinweg reproduzieren ließ.

Das zweite war architektonischer Natur. Das Seitenpanel liest einen Parameter skipPermissions=true aus seiner eigenen URL und startet im Modus, in dem alle Berechtigungsprüfungen übersprungen werden, ohne Nutzergeste und ohne Einwilligungsschritt. Manifold sagte, dieser Pfad sei in 1.0.80 für sich genommen nicht aus der Ferne ausnutzbar, aber er verwandele jeden künftigen URL-Konstruktionsfehler in eine stille privilegierte Ausführung. Anthropic schloss den ersten Bericht mit der Begründung, er sei bereits durch das interne Problem der Vertrauensgrenze abgedeckt – von dem das Unternehmen sagte, es „bleibe offen, bis eine vollständige Behebung vorliege“ –, und schloss den zweiten als informativ.

Diese CVSS-Bewertungen gehören zu Manifolds Ergebnissen, nicht zu LayerXs ursprünglichem ClaudeBleed, und sollten nicht auf dieses zurückübertragen werden. Was sie jedoch belegen, ist, dass ein unabhängiges Labor Wochen später Claude noch immer über das Skript einer anderen Erweiterung steuern konnte. Das ist die stärkste verfügbare Bestätigung für die Klasse von Schwachstelle, die LayerX beschrieben hat, auch wenn es keine Reproduktion von LayerXs eigenem Proof of Concept ist.

Warum eine Erweiterung ohne Berechtigungen der springende Punkt ist

Das Erweiterungsmodell von Chrome basiert auf deklarierten Berechtigungen: Eine Erweiterung, die nichts anfordert, soll nahezu nichts erreichen können. ClaudeBleed kehrte das um, indem es den Assistenten zu dem machte, was die Berechtigungen hält, und dann einen Aufrufer ohne Berechtigungen diese ausleihen ließ. Gispans Einordnung, wie von CyberScoop zitiert, ist, dass der Fehler „die Sicherheit von Chromes Erweiterungen effektiv bricht“, indem er eine Primitive zur Rechteausweitung über Erweiterungen hinweg schafft.

Für Verteidiger bleibt als praktische Konsequenz genau das, was Sharma genannt hat: Die Überwachung des Prompt-Streams hilft nicht, wenn der Angreifer verändert hat, was der Agent als seine eigene Schnittstelle wahrnimmt. Die sichtbaren Aktionen sind die eigenen Klicks und Bestätigungen der Nutzer, wiedergegeben oder gefälscht. LayerX’ vorgeschlagene Richtung war laut CPO Magazine, Authentifizierungstokens von der Erweiterung an die Seite zu übergeben, um Aufrufer zu binden, plus echte Nutzerfreigaben. Das ist eine Reparatur an der Infrastruktur, keine Korrektur des Modellverhaltens.

Zum Zeitpunkt der hier geprüften Berichterstattung ist kein öffentlicher Anthropic-Sicherheitshinweis zu ClaudeBleed erschienen. Der Sachstand bleibt ein Forschungsergebnis mit einem demonstrierten Proof of Concept, einer teilweisen Behebung, die laut Forschern innerhalb von Stunden umgangen wurde, und einer verbleibenden Lücke, die ein zweites Unternehmen im Juli noch als offen meldete.