ClaudeBleed: un'estensione senza permessi dirotta Claude for Chrome

L'8 maggio 2026, CyberScoop, SecurityWeek e CSO Online hanno ciascuno riportato la stessa scoperta dell'azienda di sicurezza dei browser LayerX: l'estensione Claude di Anthropic per Chrome accettava istruzioni da qualsiasi altra estensione di Chrome installata nello stesso browser, compresa una che non richiede alcun permesso. LayerX ha denominato la vulnerabilità ClaudeBleed e ha dimostrato che essa induceva l'agente a prelevare file da Google Drive e condividerli con una parte esterna, leggere e inviare Gmail e copiare codice da un repository GitHub privato. L'esposizione riguardava chiunque utilizzasse l'estensione con il controllo del browser concesso e Google o GitHub collegati; non è stato registrato alcuno sfruttamento nel mondo reale. L'archivio data questo record al 12 maggio 2026, il giorno in cui il CSIRT del settore sanitario colombiano ha emesso l'avviso 099 sulla stessa vulnerabilità. Il record completo, comprese le valutazioni di gravità, affidabilità e danno dell'archivio stesso, si trova nell'Orca AI Incident Archive, insieme alle voci su agenti browser e dirottamento di estensioni che lo affiancano.

Il confine di fiducia che secondo LayerX mancava

L'estensione di Anthropic funziona su claude.ai e, una volta che l'utente le concede il controllo del browser, può agire all'interno di altre schede. La scoperta di LayerX non era che si potesse convincere il modello a comportarsi male, ma che i meccanismi interni dell'estensione consentivano a un chiamante che non era mai stato verificato di raggiungere il modello. «La falla deriva da un'istruzione nel codice dell'estensione che consente a qualsiasi script in esecuzione nel browser di origine di comunicare con l'LLM di Claude, ma non verifica chi sta eseguendo lo script», ha scritto il ricercatore di LayerX Aviad Gispan, nel resoconto citato da CyberScoop. «Di conseguenza, qualsiasi estensione può richiamare un content script (che non richiede permessi speciali) e inviare comandi all'estensione Claude».

Il resoconto di SecurityWeek riassume lo stesso punto nei termini usati da Chrome stesso: l'estensione si fidava dell'origine dell'esecuzione — claude.ai — anziché del contesto di esecuzione. All'estensione di un attaccante basta dichiarare uno script di contenuto configurato per essere eseguito nel mondo principale della pagina, così che lo script venga eseguito come parte di claude.ai, e poi inviare il proprio messaggio. L'estensione Claude vede un mittente sull'origine attendibile e si conforma. Gispan ha descritto il risultato come "una primitiva di escalation dei privilegi tra estensioni, qualcosa che il modello di sicurezza di Chrome è esplicitamente progettato per prevenire".

Che cosa ha fatto effettivamente il proof of concept

CyberScoop ha riferito che Gispan poteva eseguire qualsiasi prompt scegliesse, aggirare le protezioni di sicurezza di Claude, eludere la fase di conferma da parte dell'utente e agire su diversi strumenti di Google. Le dimostrazioni sono state concrete: estrarre file dalle cartelle di Google Drive e condividerli con soggetti non autorizzati, sorvegliare l'attività email recente e inviare posta per conto dell'utente, e prelevare codice sorgente privato da un repository GitHub collegato.

I bypass sono la parte su cui vale la pena soffermarsi. SecurityWeek ha riportato che LayerX ha falsificato l'approvazione dell'utente inviando ripetutamente un messaggio di conferma — un ciclo di approvazione — e ha usato la manipolazione del DOM per alterare ciò che Claude poteva vedere, rimuovendo etichette e indicatori attorno a elementi sensibili come le password e il feedback di condivisione, così che le azioni apparissero legittime dall'interno della visuale dell'agente stesso. È per questo che Ax Sharma, responsabile della ricerca presso Manifold Security, ha dichiarato a CyberScoop che «la parte più sofisticata di questo attacco non è l'iniezione, ma il fatto che l'ambiente percepito dall'agente sia stato manipolato per produrre azioni che sembravano legittime dall'interno».

Segnalato il 27 aprile, considerato un duplicato, parzialmente risolto il 6 maggio

Secondo CyberScoop, LayerX ha segnalato la vulnerabilità ad Anthropic il 27 aprile 2026. Anthropic ha risposto un giorno dopo affermando che il bug era un duplicato di un'altra vulnerabilità già in fase di correzione in un aggiornamento futuro. Tale aggiornamento, la versione 1.0.70, è arrivato il 6 maggio e ha introdotto nuovi flussi di approvazione per le azioni privilegiate.

La posizione di LayerX, come riportato da SecurityWeek, è che la correzione ha trattato un sintomo. Anthropic ha aggiunto controlli interni per impedire alle estensioni in modalità "standard" di eseguire comandi remoti, ma ha lasciato in place il gestore dei messaggi sottostante. Passando l'estensione alla modalità "privileged" — cosa che, secondo Gispan, avviene senza che l'utente venga notificato o gli venga chiesto di approvare — il dirottamento funzionava di nuovo. CyberScoop ha riportato che Gispan era ancora in grado di assumere il controllo dell'agente in alcuni scenari dopo la patch. Il team di risposta agli incidenti informatici del settore sanitario colombiano, CSIRT Salud, ha riassunto la stessa affermazione nell'avviso 099: i ricercatori hanno affermato di aver aggirato le mitigazioni iniziali in circa tre ore.

Che cosa è stabilito e che cosa è soltanto affermato

La classificazione dell’archivio assegna a questo record il grado di ricerca, gravità media, confidenza B, non contestato, con nessun danno reale registrato e coinvolgimento dell’IA confermato. Vale la pena leggere quei giudizi alla lettera. Ogni resoconto della vulnerabilità originale risale a un’unica fonte, la stessa analisi pubblicata da LayerX. CyberScoop, SecurityWeek, CSO Online e CPO Magazine lo ripetono tutti, e nessuno dei quattro riporta una riproduzione indipendente. In questo caso, la corroborazione significa che la divulgazione è reale e descritta in modo coerente tra le testate; non significa che un secondo laboratorio abbia confermato il meccanismo a maggio.

Non esiste nemmeno un CVE. Nessun identificatore compare in nessuna delle coperture esaminate qui né nell'avviso di CSIRT Salud; la falla è invece tracciata tramite la versione dell'estensione. Né Anthropic né LayerX hanno pubblicato dati su quanti utenti avessero installato l'estensione o su quanti avessero collegato Google o GitHub. Anthropic non ha risposto alla richiesta di commento di CyberScoop, e il resoconto non contiene alcuna dichiarazione del fornitore che contesti la versione di LayerX.

Due cose riguardo al documento meritano di essere segnalate anziché attenuate. I livelli di gravità non concordano: l'archivio lo definisce medio, l'analisi di LayerX ha definito la vulnerabilità critica e il CSIRT Salud ha classificato il proprio avviso come "Alto" — elevato. Si tratta di tre giudizi espressi da tre soggetti, e questo articolo non ne converte uno nell'altro. Inoltre, il documento primario non è più online: il post sul blog di LayerX ora restituisce un 404 su un sito che riporta un banner relativo all'acquisizione da parte di Akamai, quindi l'analisi tecnica sopravvive qui solo nelle citazioni riportate da CyberScoop, SecurityWeek e CPO Magazine.

Cosa è successo dopo: ancora non completato a luglio

Ax Sharma di Manifold Security, che aveva commentato la divulgazione originale, ha continuato a indagare. In un articolo pubblicato il 14 luglio 2026, Manifold ha dichiarato di aver segnalato ad Anthropic altri due problemi il 21 maggio 2026 relativi alla versione 1.0.72 dell'estensione, e che entrambi si riproducevano ancora nella versione 1.0.80, rilasciata il 7 luglio.

Il primo era un bypass tramite clic sintetico. La mitigazione di Anthropic aveva sostituito il testo arbitrario del prompt con nove identificatori di attività hardcoded — tra cui usecase-gmail, usecase-gdocs, usecase-calendar e usecase-salesforce — che una pagina poteva attivare ma non riscrivere. Manifold ha scoperto che il gestore del clic che li attiva non verifica mai event.isTrusted, quindi qualsiasi content script su claude.ai può costruire il pulsante, impostare l'identificatore di attività e inviare un clic falso. Nella modalità predefinita "Ask before acting" l'utente vede comunque una richiesta di approvazione; con "Act without asking" abilitata, la lettura avviene silenziosamente. Manifold ha valutato quel percorso CVSS 7,7 in modalità predefinita e 9,6 in quella silenziosa, e ha sottolineato che il bug risiede nell'estensione anziché nel modello, riproducendosi con le selezioni del modello nel pannello laterale Opus, Sonnet e Fable.

Il secondo era di natura architetturale. Il pannello laterale legge un parametro skipPermissions=true dalla propria URL e si avvia in modalità che salta tutti i controlli sui permessi, senza alcun gesto dell'utente e senza un passaggio di consenso. Manifold ha affermato che quel percorso, di per sé, non era sfruttabile da remoto nella 1.0.80, ma che trasforma qualsiasi futura vulnerabilità nella costruzione degli URL in un'esecuzione privilegiata silenziosa. Anthropic ha chiuso il primo report come già coperto dal problema interno di confine di fiducia — che l'azienda ha detto "resta aperto in attesa di una correzione completa" — e ha chiuso il secondo come informativo.

Quei punteggi CVSS appartengono ai risultati di Manifold, non al ClaudeBleed originale di LayerX, e non dovrebbero essere riattribuiti a quest'ultimo. Ciò che invece dimostrano è che un laboratorio indipendente, settimane dopo, poteva ancora pilotare Claude dallo script di un'altra estensione. Si tratta della più forte corroborazione disponibile per la classe di vulnerabilità descritta da LayerX, sebbene non sia una riproduzione del proof of concept originale di LayerX.

Perché un'estensione a zero permessi è il punto

Il modello delle estensioni di Chrome si basa sulle autorizzazioni dichiarate: un'estensione che non richiede nulla dovrebbe poter accedere a quasi nulla. ClaudeBleed ha invertito questo meccanismo facendo dell'assistente l'elemento che detiene le autorizzazioni e consentendo poi a un chiamante senza autorizzazioni di prenderle in prestito. Secondo Gispan, come riportato da CyberScoop, il difetto "di fatto compromette la sicurezza delle estensioni di Chrome" creando una primitiva di escalation dei privilegi tra estensioni.

Per i difensori il residuo pratico è quello che Sharma ha nominato: monitorare il flusso dei prompt non serve quando l'attaccante ha cambiato ciò che l'agente percepisce come la propria interfaccia. Le azioni visibili sono i clic e le conferme dell'utente stesso, riprodotti o fabbricati. La direzione suggerita da LayerX, secondo CPO Magazine, era quella di token di autenticazione da estensione a pagina per vincolare i chiamanti, oltre ad approvazioni reali dell'utente. Si tratta di una correzione impiantistica, non di una correzione del comportamento del modello.

Al momento delle informazioni esaminate qui, non è comparso alcun avviso pubblico di Anthropic per ClaudeBleed. Il quadro resta quello di una scoperta di ricerca con una proof of concept dimostrata, una correzione parziale che i ricercatori affermano essere stata aggirata nel giro di poche ore, e una lacuna residua che una seconda azienda ha segnalato come ancora aperta a luglio.