ClaudeBleed: הרחבה ללא הרשאות משתלטת על Claude for Chrome
- GoogleחדשGoogle: Gemini 4 Carbon2026-11-10$2.00 / $10.00 לכל 1M טוקנים · 119 tok/s
- AnthropicחדשAnthropic: Claude Fable 5.22026-11-09$8.00 / $40.00 לכל 1M טוקנים · 99 tok/s
- orcaחדשOrca: OrcaC2 1.02026-11-0727 tok/s
- OrcaחדשOrcaCyber: GLM 5.3 Abliterated / Uncensored2026-11-04$3.00 / $5.00 לכל 1M טוקנים · 120 tok/s
- OrcaחדשOrcaCyber: Hy4 Abliterated / Uncensored2026-11-04$0.80 / $1.60 לכל 1M טוקנים · 229 tok/s
- OrcaחדשOrcaCyber: Kimi K3.1 Pro Abliterated / Uncensored2026-11-04$4.00 / $20.00 לכל 1M טוקנים · 41 tok/s
- OrcaחדשOrcaCyber: MiniMax M3.1 Flash Abliterated / Uncensored2026-10-29$0.80 / $1.60 לכל 1M טוקנים · 128 tok/s
- OrcaOrcaCyber: GLM 5.3 Flash Abliterated / Uncensored2026-10-27$0.80 / $1.60 לכל 1M טוקנים · 58 tok/s
- OrcaOrcaCyber: Qwen3.8 Flash Next Abliterated / Uncensored2026-10-26$0.80 / $1.60 לכל 1M טוקנים · 98 tok/s
- OrcaOrcaCyber: MiMo V2.6 Flash Abliterated / Uncensored2026-10-26$0.80 / $1.60 לכל 1M טוקנים · 40 tok/s
- MoonshotMoonshotAI: Kimi K3.1 Pro2026-10-2447אינטליגנציה
- OrcaOrcaCyber: DeepSeek V4.1 Flash Abliterated / Uncensored2026-10-23$0.80 / $1.60 לכל 1M טוקנים · 126 tok/s
- minimaxMiniMax: M3.1 Flash2026-10-1929אינטליגנציה
- OrcaOrca: OrcaCyber Ultra 1.02026-10-17$5.00 / $10.00 לכל 1M טוקנים · 106 tok/s
- deepseekDeepSeek: DeepSeek V4.1 Flash 10172026-10-1733אינטליגנציה
- DeepSeekDeepSeek: DeepSeek V4.1 Flash2026-10-1740אינטליגנציה
- OrcaOrca: OrcaCyber Zero 1.52026-10-10$3.00 / $7.50 לכל 1M טוקנים · 64 tok/s
- openaiOpenAI: GPT-6.1 Sol2026-09-2955אינטליגנציה
- anthropicAnthropic: Claude Sonnet 5.52026-09-2855אינטליגנציה
- typesafeTypeSafe: Jev 1.132026-09-24$0.04 / $0.00 לכל 1M טוקנים · 402 tok/s
ב-8 במאי 2026, CyberScoop, SecurityWeek ו-CSO Online דיווחו כל אחד על אותו ממצא מחברת אבטחת הדפדפן LayerX: תוסף Claude in Chrome של Anthropic יקבל הוראות מכל תוסף Chrome אחר המותקן באותו דפדפן, כולל תוסף שאינו מבקש הרשאות כלל. LayerX כינתה את הפגיעות ClaudeBleed והדגימה כיצד היא מניעה את הסוכן לשלוף קבצים מ-Google Drive ולשתף אותם עם גורם חיצוני, לקרוא ולשלוח הודעות Gmail, ולהעתיק קוד מתוך מאגר GitHub פרטי. החשיפה נגעה לכל מי שהפעיל את התוסף עם הרשאת שליטה בדפדפן וחיבור ל-Google או ל-GitHub; לא תועד ניצול בעולם האמיתי. הארכיון מתארך רשומה זו ל-12 במאי 2026, היום שבו פרסם ה-CSIRT של מגזר הבריאות בקולומביה התראה 099 על אותה פגיעות. הרשומה המלאה, כולל דירוגי החומרה, הוודאות והנזק של הארכיון עצמו, נמצאת ב-Orca AI Incident Archive, לצד רשומות סוכן הדפדפן וחטיפת התוסף הסמוכות לה.
גבול האמון שלדברי LayerX היה חסר
ההרחבה של Anthropic פועלת ב-claude.ai, ולאחר שהמשתמש מעניק לה שליטה בדפדפן, היא יכולה לפעול בתוך לשוניות אחרות. הממצא של LayerX לא היה שאפשר לשכנע את המודל להתנהג שלא כראוי, אלא שהתשתית של ההרחבה אפשרה לגורם קורא שהיא מעולם לא בדקה להגיע למודל בכלל. "הפגם נובע מהוראה בקוד של ההרחבה שמאפשרת לכל סקריפט שפועל בדפדפן המקור לתקשר עם ה-LLM של Claude, אך אינה מאמתת מי מריץ את הסקריפט", כתב החוקר של LayerX, אביאד גיספן, בכתבה ש-CyberScoop ציטט. "כתוצאה מכך, כל הרחבה יכולה להפעיל סקריפט תוכן (content script) — שאינו דורש הרשאות מיוחדות — ולשלוח פקודות להרחבה של Claude."
התיאור של SecurityWeek מציג את אותה נקודה במונחים של Chrome עצמו: התוסף סמך על המקור של ההרצה — claude.ai — ולא על הקשר ההרצה. התוסף של תוקף צריך רק להצהיר על סקריפט תוכן שמוגדר לפעול בעולם הראשי של הדף, כך שהסקריפט פועל כחלק מ-claude.ai, ואז לשלוח את ההודעה שלו. תוסף Claude רואה שולח מהמקור המהימן ומציית. Gispan תיאר את התוצאה כ"פרימיטיב להסלמת הרשאות בין תוספים, משהו שמודל האבטחה של Chrome נועד במפורש למנוע."
מה שהוכחת ההיתכנות למעשה עשתה
CyberScoop דיווח כי Gispan יכול היה להריץ כל פרומפט שיבחר, לפרוץ את מנגנוני הבטיחות של Claude, לעקוף את שלב אישור המשתמש ולפעול באמצעות כמה כלים של Google. ההדגמות היו קונקרטיות: חילוץ קבצים מתיקיות Google Drive ושיתופם עם גורמים לא מורשים, מעקב אחר פעילות דוא"ל אחרונה ושליחת דואר בשם המשתמש, ולקיחת קוד מקור פרטי ממאגר GitHub מחובר.
העקיפות הן החלק ששווה להתעכב עליו. SecurityWeek דיווחה כי LayerX זייפה אישור משתמש על ידי שליחה חוזרת ונשנית של הודעת אישור — לולאת אישורים — והשתמשה במניפולציה של DOM כדי לשנות את מה ש-Claude יכול היה לראות, תוך הסרת תוויות ואינדיקטורים סביב פריטים רגישים כגון סיסמאות ומשוב השיתוף, כך שהפעולות נראו לגיטימיות מבפנים, מנקודת המבט של הסוכן עצמו. לכן אקס שארמה, ראש המחקר ב-Manifold Security, אמר ל-CyberScoop כי "החלק המתוחכם ביותר בהתקפה הזו אינו ההזרקה, אלא העובדה שהסביבה הנתפסת של הסוכן עוותה כדי לייצר פעולות שנראו לגיטימיות מבפנים."
דווח ב-27 באפריל, סומן ככפילות, תוקן חלקית ב-6 במאי
LayerX דיווחה ל-Anthropic על הפגם ב-27 באפריל 2026, לפי CyberScoop. Anthropic השיבה כעבור יום ואמרה שהבאג הוא כפילות של פגיעות אחרת שכבר מטופלת בעדכון עתידי. אותו עדכון, גרסה 1.0.70, הגיע ב-6 במאי והציג תהליכי אישור חדשים לפעולות פריבילגיות.
עמדתה של LayerX, כפי שדווח ב-SecurityWeek, היא שהתיקון טיפל בתסמין. Anthropic הוסיפה בדיקות פנימיות כדי למנוע מתוספים הפועלים במצב "רגיל" להריץ פקודות מרחוק, אך השאירה את מטפל ההודעות הבסיסי במקומו. העברת התוסף למצב "פריווילגי" — שלדברי Gispan מתרחשת בלי שהמשתמש יקבל התראה או יידרש לאשר — והחטיפה עבדה שוב. CyberScoop דיווח ש-Gispan עדיין הצליח להשתלט על הסוכן בתרחישים מסוימים לאחר התיקון. צוות התגובה לאירועי חירום במחשבים במגזר הבריאות של קולומביה, CSIRT Salud, סיכם את אותה הטענה בהתראה 099: החוקרים אמרו שהם עקפו את המיתיגציות הראשוניות בכשלוש שעות.
מה מבוסס, ומה רק נטען
הארכיון מדרג את הרשומה הזו כמחקר, חומרה בינונית, רמת ביטחון B, ללא מחלוקת, ללא נזק ממשי מתועד ועם מעורבות AI מאושרת. כדאי לקרוא את הדירוגים האלה כפשוטם. כל תיאור של הפגם המקורי מתחקה אחר מקור אחד: הדיווח של LayerX עצמה. CyberScoop, SecurityWeek, CSO Online ו-CPO Magazine כולם חוזרים עליו, ואף אחד מהארבעה לא מדווח על שחזור עצמאי. אישוש כאן משמעו שהחשיפה אמיתית ומתוארת בעקביות בכלי התקשורת; הוא אינו אומר שמעבדה שנייה אישרה את המנגנון במאי.
גם אין CVE. שום מזהה אינו מופיע באף אחד מהסיקורים שנבדקו כאן או בייעוץ של CSIRT Salud; הפגם מאותר לפי גרסת התוסף במקום. לא פורסם על ידי Anthropic או LayerX נתון כלשהו לגבי כמה משתמשים התקינו את התוסף, או כמה חיברו את Google או GitHub. Anthropic לא הגיבה לבקשת התגובה של CyberScoop, והדיווח אינו כולל הצהרת ספק שמערערת על גרסת LayerX.
יש שני דברים בתיעוד שראוי להדגיש ולא להחליק. דירוגי החומרה אינם תואמים: הארכיון מכנה אותו בינוני, התיעוד של LayerX כינה את הפגיעות קריטית, ו-CSIRT Salud דירג את ההתראה שלו כ"Alto" — גבוהה. אלו שלוש הערכות של שלושה גורמים, והמאמר הזה אינו ממיר אחת באחרת. והמסמך הראשוני אינו זמין עוד ברשת: הפוסט בבלוג של LayerX מחזיר כעת 404 באתר שמציג באנר של רכישת Akamai, ולכן התיעוד הטכני שורד כאן רק בציטוטים ש-CyberScoop, SecurityWeek ו-CPO Magazine הביאו.
מה קרה אחרי: עדיין לא הושלם ביולי
אקס שארמה מ-Manifold Security, שהעיר על הגילוי המקורי, המשיך לחפש. במאמר שפורסם ב-14 ביולי 2026, מסרה Manifold כי דיווחה ל-Anthropic על שתי בעיות נוספות ב-21 במאי 2026 בנוגע לגרסה 1.0.72 של התוסף, וכי שתיהן עדיין ניתנות לשחזור בגרסה 1.0.80, ששוחררה ב-7 ביולי.
הראשון היה עקיפת לחיצה סינתטית. מנגנון המיתון של Anthropic החליף טקסט הנחיה שרירותי בתשעה מזהי משימה מקודדים מראש — ובהם usecase-gmail, usecase-gdocs, usecase-calendar ו-usecase-salesforce — שדף יכול להפעיל אך לא לשכתב. Manifold מצא שמטפל הלחיצה שמפעיל אותם לעולם אינו בודק את event.isTrusted, ולכן כל סקריפט תוכן ב-claude.ai יכול לבנות את הכפתור, לקבוע את מזהה המשימה ולשגר לחיצה מזויפת. במצב ברירת המחדל "Ask before acting" המשתמש עדיין רואה בקשת אישור; כשמצב "Act without asking" מופעל, הקריאה מתרחשת בשקט. Manifold דירג את הנתיב הזה כ-CVSS 7.7 במצב ברירת המחדל ו-9.6 במצב השקט, והדגיש שהבאג נמצא בהרחבה ולא במודל, והוא משוחזר גם בבחירות מודל בחלונית הצד של Opus, Sonnet ו-Fable.
השני היה ארכיטקטוני. פאנל הצד קורא פרמטר skipPermissions=true מה-URL של עצמו ונטען למצב של דילוג על כל בדיקות ההרשאות, ללא מחוות משתמש וללא שלב הסכמה. Manifold אמרה שמסלול זה לא היה ניתן לניצול מרחוק בפני עצמו ב-1.0.80, אך שהוא הופך כל באג עתידי בבניית URL להרצה שקטה עם הרשאות. Anthropic סגרה את הדיווח הראשון ככזה שכבר מכוסה על ידי בעיית גבול האמון הפנימית — שלדברי החברה "נותרה פתוחה עד לתיקון מלא" — וסגרה את השני כ"אינפורמטיבי".
ציוני ה-CVSS הללו שייכים לממצאים של Manifold, ולא ל-ClaudeBleed המקורי של LayerX, ואין לייחס אותם בחזרה אליו. מה שהם כן מוכיחים הוא שמעבדה עצמאית, שבועות לאחר מכן, עדיין הצליחה להפעיל את Claude מתוך סקריפט של תוסף אחר. זהו החיזוק החזק ביותר הזמין לסוג הפגם שתיארה LayerX, אף שאין זה שחזור של הוכחת ההיתכנות של LayerX עצמה.
למה תוסף עם אפס הרשאות הוא העיקר
מודל ההרחבות של Chrome בנוי על הרשאות מוצהרות: הרחבה שלא מבקשת דבר אמורה כמעט לא להגיע לשום דבר. ClaudeBleed הפך זאת בכך שהפך את העוזר לישות שמחזיקה בהרשאות, ואז איפשר לקורא ללא הרשאות ללוות אותן. הניסוח של Gispan, כפי שצוטט ב-CyberScoop, הוא שהפגם "מפרק למעשה את אבטחת ההרחבות של Chrome" בכך שהוא יוצר פרימיטיב להסלמת הרשאות בין הרחבות.
עבור המגנים, השארית המעשית היא זו ששרמה ציין: ניטור זרם הפרומפטים אינו מועיל כאשר התוקף שינה את מה שהסוכן תופס כממשק של עצמו. הפעולות הנראות לעין הן הלחיצות והאישורים של המשתמש עצמו, משוחזרים או מומצאים. הכיוון המוצע של LayerX, לפי CPO Magazine, היה אסימוני אימות מתוסף לדף כדי לקשור את הקוראים, בתוספת אישורים אמיתיים של המשתמש. זהו תיקון תשתיתי, לא תיקון של התנהגות המודל.
נכון למועד הדיווחים שנבחנו כאן, לא פורסם ייעוץ ציבורי של Anthropic בנוגע ל-ClaudeBleed. התיעוד נותר כממצא מחקרי הכולל הוכחת היתכנות שהודגמה, תיקון חלקי שלטענת החוקרים נעקף בתוך שעות, ופער שנותר שחברה שנייה דיווחה ביולי כי הוא עדיין פתוח.
