ClaudeBleed: ekstensi tanpa izin membajak Claude for Chrome

Pada 8 Mei 2026, CyberScoop, SecurityWeek, dan CSO Online masing-masing melaporkan temuan yang sama dari firma keamanan peramban LayerX: ekstensi Claude in Chrome milik Anthropic menerima instruksi dari ekstensi Chrome lain apa pun yang terpasang di peramban yang sama, termasuk ekstensi yang tidak meminta izin sama sekali. LayerX menamai celah itu ClaudeBleed dan mendemonstrasikan bahwa celah tersebut menggerakkan agen untuk mengambil file dari Google Drive dan membagikannya kepada pihak luar, membaca dan mengirim Gmail, serta menyalin kode dari repositori GitHub privat. Paparan ini berdampak pada siapa pun yang menjalankan ekstensi tersebut dengan kontrol peramban yang diberikan dan Google atau GitHub yang terhubung; belum ada eksploitasi di dunia nyata yang tercatat. Arsip mencatat tanggal rekaman ini 12 Mei 2026, hari ketika CSIRT sektor kesehatan Kolombia mengeluarkan peringatan 099 tentang celah yang sama. Rekaman lengkapnya, termasuk peringkat keparahan, keyakinan, dan kerugian versi arsip itu sendiri, tersimpan di Orca AI Incident Archive, bersama entri agen peramban dan pembajakan ekstensi yang berada di dekatnya.

Batas kepercayaan yang menurut LayerX hilang

Ekstensi Anthropic berjalan di claude.ai dan, setelah pengguna memberinya kendali atas browser, dapat bertindak di dalam tab lain. Temuan LayerX bukanlah bahwa model tersebut dapat dibujuk untuk berperilaku menyimpang, melainkan bahwa mekanisme internal ekstensi itu memungkinkan pemanggil yang belum pernah diverifikasi olehnya untuk menjangkau model sama sekali. "Cacat tersebut berasal dari sebuah instruksi dalam kode ekstensi yang memungkinkan skrip apa pun yang berjalan di browser asal berkomunikasi dengan LLM Claude, tetapi tidak memverifikasi siapa yang menjalankan skrip itu," tulis peneliti LayerX, Aviad Gispan, dalam tulisan yang dikutip CyberScoop. "Akibatnya, ekstensi apa pun dapat memanggil content script (yang tidak memerlukan izin khusus) dan mengirimkan perintah ke ekstensi Claude."

Ulasan SecurityWeek menyampaikan poin yang sama dalam istilah yang digunakan Chrome sendiri: ekstensi tersebut memercayai origin eksekusi — claude.ai — alih-alih konteks eksekusinya. Ekstensi milik penyerang hanya perlu mendeklarasikan content script yang dikonfigurasi untuk berjalan di main world halaman, sehingga skrip itu dieksekusi sebagai bagian dari claude.ai, lalu mengirim pesannya. Ekstensi Claude melihat pengirim berada pada origin yang dipercaya dan menuruti permintaan itu. Gispan menyebut hasilnya sebagai "primitif eskalasi hak istimewa lintas ekstensi, sesuatu yang secara eksplisit dirancang untuk dicegah oleh model keamanan Chrome."

Apa yang sebenarnya dilakukan oleh proof of concept tersebut

CyberScoop melaporkan bahwa Gispan dapat mengeksekusi prompt apa pun yang dipilihnya, menembus pagar pengaman Claude, menghindari langkah konfirmasi pengguna, dan bertindak di beberapa alat Google. Demonstrasi tersebut konkret: mengekstrak file dari folder Google Drive dan membagikannya kepada pihak yang tidak berwenang, mengawasi aktivitas email terbaru dan mengirim email atas nama pengguna, serta mengambil kode sumber privat dari repositori GitHub yang terhubung.

Bypass adalah bagian yang perlu direnungkan. SecurityWeek melaporkan bahwa LayerX memalsukan persetujuan pengguna dengan berulang kali mengirim ulang pesan konfirmasi — pengulangan persetujuan — dan menggunakan manipulasi DOM untuk mengubah apa yang bisa dilihat Claude, menghapus label dan indikator di sekitar item sensitif seperti kata sandi dan umpan balik berbagi sehingga tindakan tersebut tampak sah dari dalam pandangan agen itu sendiri. Itulah sebabnya Ax Sharma, kepala riset di Manifold Security, mengatakan kepada CyberScoop bahwa "bagian paling canggih dari serangan ini bukanlah injeksi, melainkan bahwa lingkungan yang dipersepsikan agen dimanipulasi untuk menghasilkan tindakan yang tampak sah dari dalam."

Dilaporkan pada 27 April, disebut duplikat, sebagian diperbaiki pada 6 Mei

Menurut CyberScoop, LayerX melaporkan cacat tersebut kepada Anthropic pada 27 April 2026. Anthropic membalas sehari kemudian dengan menyatakan bahwa bug itu merupakan duplikat dari kerentanan lain yang sudah ditangani dalam pembaruan mendatang. Pembaruan tersebut, versi 1.0.70, hadir pada 6 Mei dan memperkenalkan alur persetujuan baru untuk tindakan istimewa.

Posisi LayerX, sebagaimana dilaporkan oleh SecurityWeek, adalah bahwa perbaikan tersebut hanya menangani gejala. Anthropic menambahkan pemeriksaan internal untuk menghentikan ekstensi yang berjalan dalam mode "standard" agar tidak mengeksekusi perintah jarak jauh, tetapi tetap membiarkan penangan pesan yang mendasarinya. Mengalihkan ekstensi ke mode "privileged" — yang menurut Gispan terjadi tanpa pengguna diberi tahu atau diminta menyetujuinya — dan pembajakan pun berhasil lagi. CyberScoop melaporkan bahwa Gispan masih dapat mengambil alih agen tersebut dalam beberapa skenario setelah patch. Tim tanggap darurat komputer sektor kesehatan Kolombia, CSIRT Salud, merangkum klaim yang sama dalam peringatan 099: para peneliti mengatakan mereka telah menghindari mitigasi awal dalam waktu sekitar tiga jam.

Apa yang sudah mapan, dan apa yang hanya diklaim

Arsip menilai catatan ini sebagai riset, tingkat keparahan sedang, keyakinan B, tidak disengketakan, tanpa cedera nyata yang tercatat, dan keterlibatan AI dikonfirmasi. Nilai-nilai itu pantas dibaca secara harfiah. Setiap uraian tentang cacat aslinya bermuara pada satu sumber, tulisan LayerX sendiri. CyberScoop, SecurityWeek, CSO Online, dan CPO Magazine semuanya mengulanginya, dan tak satu pun dari keempat laporan itu melaporkan reproduksi independen. Korroborasi di sini berarti pengungkapannya nyata dan diuraikan secara konsisten di berbagai media; bukan berarti laboratorium kedua mengonfirmasi mekanisme tersebut pada Mei.

Juga tidak ada CVE. Tidak ada pengenal yang muncul dalam liputan mana pun yang ditinjau di sini atau dalam advisori CSIRT Salud; celah keamanan ini dilacak berdasarkan versi ekstensi. Tidak ada angka tentang berapa banyak pengguna yang memasang ekstensi tersebut, atau berapa banyak yang menghubungkan Google atau GitHub, yang diterbitkan oleh Anthropic atau LayerX. Anthropic tidak menanggapi permintaan komentar dari CyberScoop, dan laporan tersebut tidak memuat pernyataan vendor yang membantah penjelasan LayerX.

Dua hal tentang catatan ini perlu disorot, bukan dihaluskan. Tingkat keparahannya tidak sejalan: arsip menyebutnya sedang, tulisan LayerX menyebut kerentanan itu kritis, dan CSIRT Salud memberi peringkat alertnya “Alto” — tinggi. Itu tiga penilaian dari tiga pihak, dan artikel ini tidak mengonversi yang satu menjadi yang lain. Lalu dokumen utamanya tidak lagi tersedia online: posting blog LayerX kini mengembalikan 404 di situs yang menampilkan banner akuisisi Akamai, sehingga tulisan teknisnya bertahan di sini hanya dalam kutipan yang dimuat CyberScoop, SecurityWeek, dan CPO Magazine.

Apa yang terjadi setelahnya: masih belum selesai pada bulan Juli

Ax Sharma dari Manifold Security, yang telah mengomentari pengungkapan awal, terus menyelidiki. Dalam tulisan yang diterbitkan pada 14 Juli 2026, Manifold mengatakan pihaknya telah melaporkan dua masalah lain kepada Anthropic pada 21 Mei 2026 terhadap versi ekstensi 1.0.72, dan bahwa keduanya masih dapat direproduksi di versi 1.0.80, yang dirilis pada 7 Juli.

Yang pertama adalah bypass klik sintetis. Mitigasi Anthropic telah mengganti teks prompt arbitrer dengan sembilan pengenal tugas yang di-hardcode — di antaranya usecase-gmail, usecase-gdocs, usecase-calendar, dan usecase-salesforce — yang dapat dipicu oleh sebuah halaman tetapi tidak dapat ditulis ulang. Manifold menemukan bahwa penangan klik yang memicunya tidak pernah memeriksa event.isTrusted, sehingga content script apa pun di claude.ai dapat membangun tombol, menetapkan pengenal tugas, dan mengirim klik palsu. Dalam mode default "Ask before acting", pengguna tetap melihat prompt persetujuan; dengan "Act without asking" diaktifkan, pembacaan terjadi secara diam-diam. Manifold menilai jalur itu CVSS 7.7 dalam mode default dan 9.6 dalam mode senyap, serta menekankan bahwa bug tersebut berada di ekstensi, bukan di model, dan tereproduksi di seluruh pilihan model panel samping Opus, Sonnet, dan Fable.

Yang kedua bersifat arsitektural. Panel samping membaca parameter skipPermissions=true dari URL-nya sendiri dan masuk ke mode lewati-semua-pemeriksaan-izin tanpa gestur pengguna dan tanpa langkah persetujuan. Manifold mengatakan jalur itu tidak dapat dieksploitasi dari jarak jauh di 1.0.80 dengan sendirinya, tetapi jalur tersebut mengubah bug konstruksi URL apa pun di masa depan menjadi eksekusi dengan hak istimewa secara senyap. Anthropic menutup laporan pertama sebagai sudah tercakup oleh masalah batas kepercayaan internal — yang menurut perusahaan "tetap terbuka menunggu perbaikan lengkap" — dan menutup laporan kedua sebagai informatif.

Skor CVSS tersebut milik temuan Manifold, bukan ClaudeBleed asli dari LayerX, dan tidak boleh dibaca balik sebagai miliknya. Yang memang mereka buktikan adalah bahwa sebuah laboratorium independen, beberapa minggu kemudian, masih dapat mengendalikan Claude dari skrip ekstensi lain. Itu adalah koroborasi terkuat yang tersedia untuk kelas kerentanan yang dijelaskan LayerX, meskipun itu bukan reproduksi dari proof of concept milik LayerX sendiri.

Mengapa ekstensi tanpa izin adalah intinya

Model ekstensi Chrome dibangun di atas izin yang dideklarasikan: ekstensi yang tidak meminta apa pun seharusnya hampir tidak dapat menjangkau apa pun. ClaudeBleed membaliknya dengan menjadikan asisten sebagai pihak yang memegang izin tersebut, lalu membiarkan pemanggil tanpa izin meminjamnya. Menurut Gispan, sebagaimana dikutip CyberScoop, kelemahan itu "secara efektif merusak keamanan ekstensi Chrome" dengan menciptakan primitif eskalasi hak istimewa lintas ekstensi.

Bagi para pembela, sisa praktisnya adalah yang disebut Sharma: memantau aliran prompt tidak membantu ketika penyerang telah mengubah apa yang dianggap agen sebagai antarmukanya sendiri. Tindakan yang terlihat adalah klik dan konfirmasi pengguna sendiri, yang diputar ulang atau direkayasa. Arahan yang disarankan LayerX, menurut CPO Magazine, adalah token autentikasi ekstensi-ke-halaman untuk mengikat pemanggil, ditambah persetujuan pengguna yang nyata. Itu perbaikan infrastruktur, bukan perbaikan perilaku model.

Per laporan yang ditinjau di sini, belum ada pemberitahuan publik dari Anthropic mengenai ClaudeBleed. Catatan tersebut tetap menjadi temuan riset dengan proof of concept yang telah didemonstrasikan, perbaikan parsial yang menurut para peneliti berhasil dilewati dalam hitungan jam, dan celah tersisa yang menurut laporan firma kedua masih terbuka pada Juli.