ClaudeBleed：ゼロ権限の拡張機能がClaude for Chromeを乗っ取る

2026年5月8日、CyberScoop、SecurityWeek、CSO Onlineはそれぞれ、ブラウザセキュリティ企業LayerXによる同じ調査結果を報じた。AnthropicのClaude in Chrome拡張機能が、同じブラウザにインストールされた他のあらゆるChrome拡張機能からの指示を受け入れるというもので、権限を一切要求しない拡張機能も含まれていた。LayerXはこの欠陥をClaudeBleedと名付け、エージェントを操作してGoogle Driveからファイルを取得して外部の相手と共有させ、Gmailを読んで送信させ、非公開のGitHubリポジトリからコードをコピーさせる実演を行った。影響は、ブラウザ制御を許可し、GoogleまたはGitHubを接続した状態でこの拡張機能を実行していたすべての人に及んだ。実際の悪用は記録されていない。アーカイブはこの記録の日付を2026年5月12日としている。コロンビアの医療セクターCSIRTが同じ脆弱性についてアラート099を発行した日である。アーカイブ自身の重大度、信頼度、被害度の評価を含む完全な記録は、Orca AI Incident Archiveに収録されており、隣接するブラウザエージェントおよび拡張機能ハイジャックの項目と並んでいる。

LayerXが欠けていたと述べている信頼境界

Anthropicの拡張機能はclaude.ai上で動作し、ユーザーがブラウザの制御を許可すると、他のタブ内で操作できる。LayerXの指摘は、モデルが言葉巧みに誘導されて不正な動作をする可能性があるということではなく、拡張機能の内部的な仕組みによって、これまで検証したことのない呼び出し元がそもそもモデルに到達できてしまうという点にあった。「この欠陥は、拡張機能のコード内の命令に起因しており、その命令は、元のブラウザで実行されているあらゆるスクリプトがClaudeのLLMと通信できるようにする一方で、誰がそのスクリプトを実行しているかを検証しない」と、LayerXの研究者Aviad Gispan氏は、CyberScoopが引用した記事の中で書いている。「その結果、あらゆる拡張機能がコンテンツスクリプト（特別な権限を必要としない）を呼び出し、Claude拡張機能にコマンドを発行できる」。

SecurityWeekの報道は、同じ指摘をChrome自身の言葉で次のように説明している。拡張機能は実行コンテキストではなく、実行のオリジン——claude.ai——を信頼していた。攻撃者の拡張機能は、ページのメインワールドで実行するように設定されたコンテンツスクリプトを宣言し、そのスクリプトがclaude.aiの一部として実行されるようにしたうえで、メッセージを送ればよい。Claude拡張機能は、信頼されたオリジン上の送信者を見て、それに従う。Gispanはこの結果を「拡張機能間の権限昇格プリミティブであり、Chromeのセキュリティモデルが明示的に防ぐよう設計されているものだ」と述べた。

概念実証が実際に何をしたのか

CyberScoopは、Gispanが任意のプロンプトを実行し、Claudeの安全ガードレールを突破し、ユーザー確認ステップを回避して、複数のGoogleツールをまたいで操作できたと報じた。実演は具体的だった。Google Driveのフォルダーからファイルを抽出して無許可の第三者と共有すること、最近のメール活動を監視してユーザーに代わってメールを送信すること、接続されたGitHubリポジトリから非公開のソースコードを持ち出すことだ。

バイパス手法こそ、じっくり考える価値のある部分だ。SecurityWeekは、LayerXが確認メッセージを繰り返し再送することでユーザーの承認を偽造し（承認ループ）、さらにDOM操作を用いてClaudeが見える内容を改変し、パスワードや共有フィードバックといった機微な項目の周囲のラベルや表示を削除することで、エージェント自身の視点からはその行動が正当に見えるようにしたと報じた。だからこそ、Manifold Securityの研究責任者であるAx SharmaはCyberScoopに対し、「この攻撃で最も精巧な部分はインジェクションではなく、エージェントが認識する環境が操作され、内部から見て正当に見える行動を生成させられたことだ」と語った。

4月27日に報告され、重複と判定され、5月6日に一部修正された。

CyberScoopによると、LayerXは2026年4月27日にこの欠陥をAnthropicに報告した。Anthropicは翌日回答し、そのバグは将来のアップデートですでに対応中の別の脆弱性と重複していると述べた。そのアップデートであるバージョン1.0.70は5月6日にリリースされ、特権操作に対する新たな承認フローを導入した。

SecurityWeekが報じたLayerXの立場は、その修正は症状に対処しただけだというものだ。Anthropicは、「standard」モードで動作する拡張機能がリモートコマンドを実行するのを防ぐために内部チェックを追加したが、基盤となるメッセージハンドラーはそのまま残した。拡張機能を「privileged」モードに切り替えると——Gispanによれば、これはユーザーへの通知や承認依頼なしに行われる——乗っ取りが再び可能になった。CyberScoopは、パッチ後も一部のシナリオではGispanがエージェントを依然として乗っ取ることができたと報じた。コロンビアの医療分野のコンピューター緊急対応チームCSIRT Saludは、アラート099で同じ主張を要約した。研究者らは、初期の緩和策を約3時間で回避したと述べた。

何が確立されており、何が単に主張されているにすぎないのか

アーカイブはこの記録を研究として格付けしており、重大度は中、信頼度はB、異議なし、実際の被害は記録されておらず、AIの関与は確認されている。これらの格付けは文字通りに読む価値がある。元の脆弱性に関するあらゆる説明は、唯一の情報源であるLayerX自身の記事に遡る。CyberScoop、SecurityWeek、CSO Online、CPO Magazineはいずれもそれを繰り返しており、4社のうち独立した再現を報告したものはない。ここでの裏付けとは、開示が実在し、各媒体で一貫して記述されていることを意味するのであり、5月に第二の研究室がそのメカニズムを確認したことを意味するものではない。

また、CVEも存在しない。ここで確認した報道のいずれにも、またCSIRT Saludの勧告にも識別子は登場せず、脆弱性は代わりに拡張機能のバージョンで追跡されている。拡張機能をインストールしていたユーザー数や、GoogleまたはGitHubを接続していたユーザー数について、AnthropicもLayerXも公表していない。AnthropicはCyberScoopのコメント要請に応答しておらず、この報道にはLayerXの説明に異議を唱えるベンダー声明も含まれていない。

この記録については、曖昧に処理するのではなく、指摘しておく価値のある点が二つある。深刻度の格付けが一致していない。アーカイブは中程度としているが、LayerXの記事はこの脆弱性を重大としていた。そしてCSIRT Saludはその警報を「Alto」—高—と評価した。これらは三者による三つの判断であり、本記事は一方を他方に読み替えるものではない。また、一次資料はもはやオンライン上にない。LayerXのブログ投稿は現在、Akamaiの買収バナーを掲げるサイト上で404を返すため、技術的な記事は、CyberScoop、SecurityWeek、CPO Magazineが引用した箇所にのみここで残っている。

その後何が起きたか：7月になってもまだ完了していない

マニフォールド・セキュリティのAx Sharmaは、当初の開示についてコメントしていたが、調査を続けた。2026年7月14日に公開された記事の中でマニフォールドは、2026年5月21日に拡張機能バージョン1.0.72に対してさらに2件の問題をAnthropicへ報告したこと、そしてその両方が7月7日にリリースされたバージョン1.0.80でも依然として再現したことを明らかにした。

最初のものは合成クリックによるバイパスだった。Anthropicの緩和策は、任意のプロンプトテキストを9つのハードコードされたタスク識別子——その中にはusecase-gmail、usecase-gdocs、usecase-calendar、usecase-salesforceが含まれる——に置き換えており、ページ側はそれを発火できても書き換えることはできなかった。Manifoldは、それらを発火させるクリックハンドラがevent.isTrustedを一切チェックしていないことを発見したため、claude.ai上の任意のコンテンツスクリプトがボタンを構築し、タスク識別子を設定して偽のクリックをディスパッチできる。デフォルトの「Ask before acting」モードではユーザーには引き続き承認プロンプトが表示されるが、「Act without asking」が有効な場合は、読み取りが黙って実行される。Manifoldはこの経路を、デフォルトモードでCVSS 7.7、サイレントモードで9.6と評価し、このバグはモデルではなく拡張機能側にあり、Opus、Sonnet、Fableのサイドパネルモデル選択全体で再現したと強調した。

2件目はアーキテクチャに関するものだった。サイドパネルは自身のURLから `skipPermissions=true` パラメータを読み取り、ユーザー操作も同意ステップもなしで、全権限チェックをスキップするモードで起動する。Manifoldは、その経路は1.0.80単体ではリモートから悪用可能ではないと述べたが、将来のURL構築バグを無言の特権実行に変えてしまうとも述べた。Anthropicは最初の報告を、内部の信頼境界問題で既にカバーされているとしてクローズし（同社はその問題が「完全な修正を待って未解決のまま」だと述べている）、2件目は情報提供としてクローズした。

それらのCVSSスコアはManifoldの調査結果に属するものであり、LayerXのオリジナルのClaudeBleedに属するものではないため、それをLayerXの元のClaudeBleedに当てはめて解釈すべきではない。これらのスコアが実際に裏付けるのは、数週間後に独立したラボが、別の拡張機能のスクリプトから依然としてClaudeを操作できたということだ。これは、LayerXが説明した種類の脆弱性について得られる最強の裏付けではあるが、LayerX自身の概念実証の再現ではない。

なぜゼロ権限の拡張機能が要点なのか

Chromeの拡張機能モデルは宣言された権限に基づいて構築されている。何も要求しない拡張機能は、ほとんど何にもアクセスできないはずだ。ClaudeBleedはこれを逆転させ、アシスタントを権限を保持する主体にし、権限を持たない呼び出し元にそれを借用させた。CyberScoopが引用したGispanの表現によれば、この欠陥は拡張機能間の特権昇格プリミティブを生み出すことで「Chromeの拡張機能セキュリティを事実上破壊する」というものだ。

防御側にとって実務上残る課題は、シャルマが名指ししたものだ。攻撃者がエージェントに自身のインターフェースだと認識させているものを変えてしまった場合、プロンプトストリームを監視しても役には立たない。目に見える操作は、ユーザー自身のクリックや確認を再生または捏造したものである。CPO Magazineによれば、LayerXが示した方向性は、呼び出し元を紐付けるための拡張機能からページへの認証トークンに加え、実際のユーザーによる承認だった。それは配管の修正であって、モデルの振る舞いの修正ではない。

ここで検討した報道の時点では、ClaudeBleedに関するAnthropicの公開アドバイザリは登場していない。記録としては、実証済みの概念実証を伴う研究成果であり、研究者によれば数時間以内に回避された部分的な修正、そして2社目の企業が7月時点でも依然未解決と報告した残存するギャップとして残っている。