ClaudeBleed: una extensión sin permisos secuestra Claude for Chrome

El 8 de mayo de 2026, CyberScoop, SecurityWeek y CSO Online informaron cada uno del mismo hallazgo de la empresa de seguridad de navegadores LayerX: la extensión Claude en Chrome de Anthropic aceptaría instrucciones de cualquier otra extensión de Chrome instalada en el mismo navegador, incluida una que no solicita ningún permiso. LayerX denominó el fallo ClaudeBleed y demostró que impulsaba al agente a extraer archivos de Google Drive y compartirlos con un tercero, leer y enviar Gmail, y copiar código de un repositorio privado de GitHub. La exposición afectaba a cualquiera que ejecutara la extensión con control del navegador concedido y Google o GitHub conectados; no se ha registrado explotación en el mundo real. El archivo fecha este registro el 12 de mayo de 2026, el día en que el CSIRT del sector salud de Colombia emitió la alerta 099 sobre el mismo fallo. El registro completo, incluidas las calificaciones de gravedad, confianza y daño del propio archivo, se encuentra en el Orca AI Incident Archive, junto con las entradas de agente de navegador y secuestro de extensiones que lo rodean.

El límite de confianza que LayerX dice que faltaba

La extensión de Anthropic se ejecuta en claude.ai y, una vez que el usuario le concede el control del navegador, puede actuar dentro de otras pestañas. El hallazgo de LayerX no fue que se pudiera convencer al modelo de portarse mal, sino que la mecánica interna de la extensión permitía que un llamador que nunca había sido verificado llegara al modelo. «La falla proviene de una instrucción en el código de la extensión que permite que cualquier script que se ejecute en el navegador de origen se comunique con el LLM de Claude, pero no verifica quién ejecuta el script», escribió el investigador de LayerX Aviad Gispan, en el informe que citó CyberScoop. «Como resultado, cualquier extensión puede invocar un script de contenido (que no requiere permisos especiales) y enviar comandos a la extensión de Claude».

El relato de SecurityWeek plantea el mismo punto en los propios términos de Chrome: la extensión confiaba en el origen de la ejecución —claude.ai— en lugar del contexto de ejecución. A la extensión de un atacante le basta con declarar un script de contenido configurado para ejecutarse en el mundo principal de la página, de modo que el script se ejecute como parte de claude.ai, y luego enviar su mensaje. La extensión de Claude ve un remitente en el origen de confianza y actúa en consecuencia. Gispan describió el resultado como «una primitiva de escalada de privilegios entre extensiones, algo que el modelo de seguridad de Chrome está diseñado explícitamente para evitar».

Qué hizo realmente la prueba de concepto

CyberScoop informó que Gispan podía ejecutar cualquier prompt que eligiera, saltarse las barreras de seguridad de Claude, evadir el paso de confirmación del usuario y actuar a través de varias herramientas de Google. Las demostraciones fueron concretas: extraer archivos de carpetas de Google Drive y compartirlos con partes no autorizadas, vigilar la actividad reciente del correo electrónico y enviar correos en nombre del usuario, y tomar código fuente privado de un repositorio de GitHub conectado.

Los bypass son la parte sobre la que vale la pena detenerse. SecurityWeek informó de que LayerX falsificó la aprobación del usuario reenviando repetidamente un mensaje de confirmación —bucle de aprobación— y utilizó manipulación del DOM para alterar lo que Claude podía ver, eliminando etiquetas e indicadores alrededor de elementos sensibles, como contraseñas y la retroalimentación de uso compartido, para que las acciones parecieran legítimas desde la propia visión del agente. Por eso Ax Sharma, jefe de investigación de Manifold Security, dijo a CyberScoop que "la parte más sofisticada de este ataque no es la inyección, sino que el entorno percibido del agente se manipuló para producir acciones que parecían legítimas desde dentro".

Reportado el 27 de abril, marcado como duplicado, corregido parcialmente el 6 de mayo.

LayerX informó del fallo a Anthropic el 27 de abril de 2026, según CyberScoop. Anthropic respondió un día después diciendo que el error era un duplicado de otra vulnerabilidad que ya se estaba abordando en una futura actualización. Esa actualización, la versión 1.0.70, llegó el 6 de mayo e introdujo nuevos flujos de aprobación para acciones privilegiadas.

La postura de LayerX, según informó SecurityWeek, es que la corrección trataba un síntoma. Anthropic añadió comprobaciones internas para impedir que las extensiones que se ejecutan en modo "estándar" ejecuten comandos remotos, pero dejó en su lugar el controlador de mensajes subyacente. Al cambiar la extensión al modo "privilegiado" —lo que, según Gispan, ocurre sin que se notifique al usuario ni se le pida aprobación—, el secuestro volvía a funcionar. CyberScoop informó de que Gispan todavía podía tomar el control del agente en algunos escenarios después del parche. El equipo de respuesta a emergencias informáticas del sector salud de Colombia, CSIRT Salud, resumió la misma afirmación en la alerta 099: los investigadores dijeron que habían evadido las mitigaciones iniciales en aproximadamente tres horas.

Qué está establecido y qué es solo una afirmación

El archivo califica este registro como investigación, gravedad media, confianza B, no disputado, sin daños reales registrados y con participación de IA confirmada. Esas calificaciones merecen leerse literalmente. Todo relato de la falla original se remonta a una única fuente: el propio informe de LayerX. CyberScoop, SecurityWeek, CSO Online y CPO Magazine lo repiten todos, y ninguno de los cuatro informa una reproducción independiente. Aquí, corroboración significa que la divulgación es real y se describe de manera consistente en los distintos medios; no significa que un segundo laboratorio confirmara el mecanismo en mayo.

Tampoco hay un CVE. No aparece ningún identificador en ninguna de las coberturas revisadas aquí ni en el aviso de CSIRT Salud; la falla se rastrea por la versión de la extensión. Ni Anthropic ni LayerX han publicado cifras sobre cuántos usuarios tenían instalada la extensión ni sobre cuántos tenían Google o GitHub conectados. Anthropic no respondió a la solicitud de comentarios de CyberScoop, y el reportaje no incluye ninguna declaración del proveedor que dispute la versión de LayerX.

Dos cosas del expediente merecen señalarse en lugar de pasarse por alto. Las calificaciones de gravedad no coinciden: el archivo lo califica como medio, el informe de LayerX calificó la vulnerabilidad de crítica, y CSIRT Salud calificó su alerta como «Alto» — alta. Son tres juicios de tres partes, y este artículo no convierte uno en otro. Y el documento principal ya no está en línea: la entrada de blog de LayerX ahora devuelve un 404 en un sitio que lleva un banner de adquisición por Akamai, por lo que el informe técnico sobrevive aquí solo en las citas que publicaron CyberScoop, SecurityWeek y CPO Magazine.

Lo que pasó después: todavía no está completo en julio

Ax Sharma, de Manifold Security, que había comentado sobre la divulgación original, siguió investigando. En un informe publicado el 14 de julio de 2026, Manifold dijo que había reportado dos problemas adicionales a Anthropic el 21 de mayo de 2026 en la versión 1.0.72 de la extensión, y que ambos seguían reproduciéndose en la versión 1.0.80, publicada el 7 de julio.

El primero consistía en una elusión mediante clic sintético. La mitigación de Anthropic había sustituido el texto de prompt arbitrario por nueve identificadores de tarea codificados de forma fija —entre ellos usecase-gmail, usecase-gdocs, usecase-calendar y usecase-salesforce— que una página podía activar, pero no reescribir. Manifold descubrió que el controlador de clics que los dispara nunca comprueba event.isTrusted, por lo que cualquier script de contenido en claude.ai puede construir el botón, establecer el identificador de tarea y enviar un clic falso. En el modo predeterminado «Preguntar antes de actuar», el usuario sigue viendo una solicitud de aprobación; con «Actuar sin preguntar» activado, la lectura se produce de forma silenciosa. Manifold calificó esa ruta con CVSS 7,7 en el modo predeterminado y 9,6 en el silencioso, y subrayó que el fallo reside en la extensión y no en el modelo, y se reproduce con las selecciones de modelo del panel lateral de Opus, Sonnet y Fable.

El segundo era arquitectónico. El panel lateral lee un parámetro skipPermissions=true de su propia URL y se inicia en modo de omisión de todas las comprobaciones de permisos sin gesto del usuario ni paso de consentimiento. Manifold dijo que esa vía no era explotable de forma remota por sí sola en la 1.0.80, pero que convierte cualquier futuro error de construcción de URL en una ejecución privilegiada silenciosa. Anthropic cerró el primer informe por considerarlo ya cubierto por el problema interno de límites de confianza —que la empresa dijo que «sigue abierto a la espera de una corrección completa»— y cerró el segundo por informativo.

Esas puntuaciones CVSS pertenecen a los hallazgos de Manifold, no al ClaudeBleed original de LayerX, y no deben trasladarse a este. Lo que sí demuestran es que un laboratorio independiente, semanas después, aún podía controlar Claude desde el script de otra extensión. Es la corroboración más sólida disponible para la clase de fallo que describió LayerX, aunque no es una reproducción de su propia prueba de concepto.

Por qué una extensión con cero permisos es lo importante

El modelo de extensiones de Chrome se basa en permisos declarados: se supone que una extensión que no solicita nada no accede a casi nada. ClaudeBleed invirtió eso al convertir al asistente en la entidad que posee los permisos y luego permitir que un llamador sin permisos los tome prestados. El planteamiento de Gispan, citado por CyberScoop, es que la falla «rompe efectivamente la seguridad de las extensiones de Chrome» al crear una primitiva de escalada de privilegios entre extensiones.

Para los defensores, el residuo práctico es el que Sharma nombró: monitorizar el flujo de prompts no ayuda cuando el atacante ha cambiado lo que el agente percibe como su propia interfaz. Las acciones visibles son los propios clics y confirmaciones del usuario, reproducidos o fabricados. La dirección sugerida por LayerX, según CPO Magazine, consistía en tokens de autenticación de extensión a página para vincular a quienes llaman, además de aprobaciones reales del usuario. Eso es una solución de fontanería, no una corrección del comportamiento del modelo.

A la fecha de los informes revisados aquí, no ha aparecido ningún aviso público de Anthropic sobre ClaudeBleed. El registro se mantiene como un hallazgo de investigación con una prueba de concepto demostrada, una corrección parcial que, según los investigadores, fue eludida en cuestión de horas, y una brecha residual que una segunda empresa informó que seguía abierta en julio.