ClaudeBleed : une extension sans aucune permission détourne Claude for Chrome

Le 8 mai 2026, CyberScoop, SecurityWeek et CSO Online ont chacun rapporté la même conclusion de l’entreprise de sécurité des navigateurs LayerX : l’extension Claude in Chrome d’Anthropic acceptait les instructions de toute autre extension Chrome installée dans le même navigateur, y compris une extension ne demandant aucune autorisation. LayerX a nommé la faille ClaudeBleed et a démontré qu’elle permettait de piloter l’agent pour récupérer des fichiers sur Google Drive et les partager avec un tiers, lire et envoyer des e-mails Gmail, et copier du code depuis un dépôt GitHub privé. L’exposition concernait toute personne exécutant l’extension avec le contrôle du navigateur accordé et Google ou GitHub connecté ; aucune exploitation réelle n’a été enregistrée. L’archive date cette fiche du 12 mai 2026, jour où le CSIRT du secteur de la santé colombien a publié l’alerte 099 sur la même faille. La fiche complète, y compris les propres niveaux de gravité, de confiance et de préjudice de l’archive, se trouve dans l’Orca AI Incident Archive, aux côtés des entrées sur les agents de navigateur et le détournement d’extensions qui la voisinent.

La frontière de confiance qui, selon LayerX, manquait

L’extension d’Anthropic s’exécute sur claude.ai et, une fois que l’utilisateur lui a accordé le contrôle du navigateur, peut agir dans d’autres onglets. La découverte de LayerX n’était pas que l’on pouvait convaincre le modèle d’adopter un comportement indésirable, mais que la mécanique interne de l’extension permettait à un appelant qu’elle n’avait jamais vérifié d’atteindre le modèle tout court. « La faille provient d’une instruction dans le code de l’extension qui permet à n’importe quel script s’exécutant dans le navigateur d’origine de communiquer avec le LLM de Claude, mais ne vérifie pas qui exécute le script », a écrit le chercheur de LayerX Aviad Gispan, dans l’analyse citée par CyberScoop. « Par conséquent, n’importe quelle extension peut invoquer un script de contenu (qui ne nécessite aucune autorisation spéciale) et envoyer des commandes à l’extension Claude. »

Le compte rendu de SecurityWeek formule le même argument dans les termes propres à Chrome : l’extension faisait confiance à l’origine de l’exécution — claude.ai — plutôt qu’au contexte d’exécution. Il suffit que l’extension d’un attaquant déclare un script de contenu configuré pour s’exécuter dans le monde principal de la page, afin que le script s’exécute comme faisant partie de claude.ai, puis envoie son message. L’extension Claude voit un expéditeur sur l’origine de confiance et se conforme. Gispan a décrit le résultat comme « une primitive d’élévation de privilèges entre extensions, quelque chose que le modèle de sécurité de Chrome est explicitement conçu pour empêcher ».

Ce que la preuve de concept a réellement fait

CyberScoop a rapporté que Gispan pouvait exécuter n’importe quel prompt de son choix, contourner les garde-fous de sécurité de Claude, échapper à l’étape de confirmation par l’utilisateur et agir sur plusieurs outils Google. Les démonstrations étaient concrètes : extraire des fichiers de dossiers Google Drive et les partager avec des tiers non autorisés, surveiller l’activité récente des e-mails et envoyer des messages au nom de l’utilisateur, et s’emparer de code source privé depuis un dépôt GitHub connecté.

Les contournements sont la partie qui mérite qu’on s’y attarde. SecurityWeek a rapporté que LayerX avait falsifié l’approbation de l’utilisateur en renvoyant à plusieurs reprises un message de confirmation — le bouclage d’approbation — et avait utilisé la manipulation du DOM pour modifier ce que Claude pouvait voir, en supprimant les étiquettes et les indicateurs autour d’éléments sensibles tels que les mots de passe et les retours liés au partage, afin que les actions paraissent légitimes depuis la propre vue de l’agent. C’est pourquoi Ax Sharma, responsable de la recherche chez Manifold Security, a déclaré à CyberScoop que « la partie la plus sophistiquée de cette attaque n’est pas l’injection, mais le fait que l’environnement perçu de l’agent a été manipulé pour produire des actions qui paraissaient légitimes de l’intérieur ».

Signalé le 27 avril, qualifié de doublon, partiellement corrigé le 6 mai

LayerX a signalé la faille à Anthropic le 27 avril 2026, selon CyberScoop. Anthropic a répondu un jour plus tard en indiquant que le bug était un doublon d’une autre vulnérabilité déjà en cours de traitement dans une future mise à jour. Cette mise à jour, la version 1.0.70, est arrivée le 6 mai et a introduit de nouveaux flux d’approbation pour les actions privilégiées.

La position de LayerX, telle que rapportée par SecurityWeek, est que le correctif traitait un symptôme. Anthropic a ajouté des contrôles internes pour empêcher les extensions fonctionnant en mode « standard » d’exécuter des commandes distantes, mais a laissé en place le gestionnaire de messages sous-jacent. Faites passer l’extension en mode « privilégié » — ce qui, selon Gispan, se produit sans que l’utilisateur en soit informé ni invité à l’approuver — et le détournement fonctionnait de nouveau. CyberScoop a rapporté que Gispan parvenait encore à prendre le contrôle de l’agent dans certains scénarios après le correctif. L’équipe d’intervention en cas d’urgence informatique du secteur de la santé en Colombie, CSIRT Salud, a résumé la même affirmation dans l’alerte 099 : les chercheurs ont déclaré avoir contourné les premières mesures d’atténuation en environ trois heures.

Qu’est-ce qui est établi, et qu’est-ce qui n’est qu’affirmé ?

L’archive classe cet enregistrement comme recherche, gravité moyenne, confiance B, non contesté, sans préjudice réel consigné et avec implication de l’IA confirmée. Ces notes méritent d’être lues au pied de la lettre. Tous les récits de la faille d’origine remontent à une seule source, la propre analyse de LayerX. CyberScoop, SecurityWeek, CSO Online et CPO Magazine ne font que la reprendre, et aucun des quatre ne rapporte de reproduction indépendante. Ici, la corroboration signifie que la divulgation est réelle et décrite de manière cohérente d’un média à l’autre ; elle ne signifie pas qu’un second laboratoire a confirmé le mécanisme en mai.

Il n’y a pas non plus de CVE. Aucun identifiant n’apparaît dans aucun des articles examinés ici ni dans l’avis du CSIRT Salud ; la faille est plutôt suivie par version de l’extension. Anthropic et LayerX n’ont publié aucun chiffre sur le nombre d’utilisateurs ayant installé l’extension, ni sur le nombre de ceux ayant connecté Google ou GitHub. Anthropic n’a pas répondu à la demande de commentaire de CyberScoop, et le reportage ne contient aucune déclaration d’un fournisseur contestant le récit de LayerX.

Deux éléments du dossier méritent d’être signalés plutôt que lissés. Les niveaux de gravité ne concordent pas : l’archive le classe comme moyen, l’article de LayerX qualifiait la vulnérabilité de critique, et le CSIRT Salud a classé son alerte « Alto » — élevée. Ce sont trois jugements rendus par trois parties, et cet article ne convertit pas l’un en l’autre. Et le document principal n’est plus en ligne : le billet de blog de LayerX renvoie désormais une 404 sur un site qui affiche une bannière d’acquisition par Akamai, si bien que l’analyse technique ne subsiste ici que dans les citations reprises par CyberScoop, SecurityWeek et CPO Magazine.

Que s’est-il passé ensuite : toujours pas terminé en juillet

{{1}}Ax Sharma{{/1}} de Manifold Security, qui avait commenté la divulgation initiale, a continué à chercher. Dans un article publié le 14 juillet 2026, Manifold a déclaré avoir signalé deux autres problèmes à Anthropic le 21 mai 2026 concernant la version 1.0.72 de l'extension, et que tous deux se reproduisaient encore dans la version 1.0.80, publiée le 7 juillet.

Le premier était un contournement par clic synthétique. L’atténuation d’Anthropic avait remplacé le texte de prompt arbitraire par neuf identifiants de tâche codés en dur — dont usecase-gmail, usecase-gdocs, usecase-calendar et usecase-salesforce — qu’une page pouvait déclencher sans pouvoir réécrire. Manifold a découvert que le gestionnaire de clic qui les déclenche ne vérifie jamais event.isTrusted ; ainsi, n’importe quel script de contenu sur claude.ai peut construire le bouton, définir l’identifiant de tâche et envoyer un faux clic. En mode par défaut « Demander avant d’agir », l’utilisateur voit encore une demande d’approbation ; avec « Agir sans demander » activé, la lecture se produit silencieusement. Manifold a évalué ce chemin à CVSS 7,7 en mode par défaut et à 9,6 dans le mode silencieux, et a souligné que le bug se situe dans l’extension plutôt que dans le modèle, en le reproduisant avec les sélections de modèle Opus, Sonnet et Fable dans le panneau latéral.

Le deuxième était d’ordre architectural. Le panneau latéral lit un paramètre skipPermissions=true depuis sa propre URL et démarre en mode d’ignorance de toutes les vérifications d’autorisation, sans geste de l’utilisateur ni étape de consentement. Manifold a déclaré que ce chemin n’était pas exploitable à distance dans la version 1.0.80 à lui seul, mais qu’il transforme toute future faille de construction d’URL en exécution privilégiée silencieuse. Anthropic a clos le premier rapport comme déjà couvert par le problème interne de frontière de confiance — que l’entreprise a dit « rester ouvert dans l’attente d’un correctif complet » — et a clos le second comme informatif.

Ces scores CVSS appartiennent aux conclusions de Manifold, et non au ClaudeBleed original de LayerX, et ne doivent pas être reportés sur celui-ci. Ce qu’ils établissent, en revanche, c’est qu’un laboratoire indépendant, des semaines plus tard, pouvait encore piloter Claude depuis le script d’une autre extension. C’est la corroboration la plus solide disponible pour la catégorie de faille décrite par LayerX, même s’il ne s’agit pas d’une reproduction de sa propre preuve de concept.

Pourquoi une extension sans permissions, c'est tout l'intérêt

Le modèle d’extension de Chrome repose sur des autorisations déclarées : une extension qui ne demande rien est censée n’avoir accès à presque rien. ClaudeBleed a inversé cela en faisant de l’assistant l’entité qui détient les autorisations, puis en permettant à un appelant sans autorisation de les emprunter. La formulation de Gispan, citée par CyberScoop, est que la faille « casse effectivement la sécurité des extensions de Chrome » en créant une primitive d’élévation de privilèges entre extensions.

Pour les défenseurs, le résidu pratique est celui que Sharma a nommé : surveiller le flux de prompts n’aide pas lorsque l’attaquant a modifié ce que l’agent perçoit comme sa propre interface. Les actions visibles sont les clics et confirmations de l’utilisateur lui-même, rejoués ou fabriqués. La direction suggérée par LayerX, selon CPO Magazine, était des jetons d’authentification extension-vers-page pour lier les appelants, plus de véritables approbations de l’utilisateur. C’est une correction de plomberie, pas une correction du comportement du modèle.

À la date des informations examinées ici, aucun avis public d'Anthropic concernant ClaudeBleed n'a été publié. Les faits restent ceux d'une découverte de recherche : une preuve de concept démontrée, un correctif partiel que les chercheurs affirment avoir été contourné en quelques heures, et une faille résiduelle qu'une seconde entreprise a signalée comme toujours ouverte en juillet.