ClaudeBleed: 제로 권한 확장 프로그램이 Claude for Chrome을 하이재킹하다

2026년 5월 8일, CyberScoop, SecurityWeek, CSO Online은 각각 브라우저 보안 기업 LayerX의 동일한 발견을 보도했다. Anthropic의 Claude in Chrome 확장 프로그램이 같은 브라우저에 설치된 다른 모든 Chrome 확장 프로그램의 지시를 수용하며, 권한을 전혀 요청하지 않는 확장 프로그램의 지시까지 받아들인다는 내용이었다. LayerX는 이 결함을 ClaudeBleed라고 명명하고, 이를 이용해 에이전트가 Google Drive에서 파일을 가져와 외부 당사자와 공유하고, Gmail을 읽고 전송하며, 비공개 GitHub 저장소에서 코드를 복사하도록 유도하는 것을 시연했다. 이 취약점은 브라우저 제어 권한이 부여된 상태에서 해당 확장 프로그램을 실행하고 Google 또는 GitHub를 연결한 모든 사용자에게 영향을 미쳤으며, 실제 환경에서의 악용 사례는 기록되지 않았다. 아카이브는 이 기록의 날짜를 2026년 5월 12일로 표시하는데, 이는 콜롬비아 보건 부문 CSIRT가 동일한 결함에 대해 경보 099를 발령한 날이다. 아카이브 자체의 심각도, 신뢰도, 피해 등급을 포함한 전체 기록은 인접한 브라우저 에이전트 및 확장 프로그램 하이재킹 항목들과 함께 Orca AI Incident Archive에 있다.

LayerX가 빠져 있다고 말한 신뢰 경계

Anthropic의 확장 프로그램은 claude.ai에서 실행되며, 사용자가 브라우저 제어 권한을 부여하면 다른 탭 안에서도 작동할 수 있다. LayerX의 발견은 모델이 잘못된 행동을 하도록 설득될 수 있다는 점이 아니라, 확장 프로그램의 연결 구조상 한 번도 검증한 적 없는 호출자가 모델에 아예 접근할 수 있었다는 점이었다. LayerX 연구원 Aviad Gispan은 CyberScoop이 인용한 보고서에서 "이 결함은 확장 프로그램 코드의 지시문에서 비롯되며, 이 지시문은 오리진 브라우저에서 실행되는 모든 스크립트가 Claude의 LLM과 통신할 수 있게 하지만 누가 그 스크립트를 실행하는지는 검증하지 않는다"라고 썼다. "그 결과 모든 확장 프로그램이 콘텐츠 스크립트를 호출하고(특별한 권한이 필요하지 않음) Claude 확장 프로그램에 명령을 내릴 수 있다."

SecurityWeek의 설명은 같은 요점을 Chrome 자체의 용어로 제시한다. 즉, 그 확장 프로그램은 실행 컨텍스트가 아니라 실행의 출처인 claude.ai를 신뢰했다. 공격자의 확장 프로그램은 페이지의 메인 월드에서 실행되도록 구성된 콘텐츠 스크립트를 선언하기만 하면 되며, 그러면 해당 스크립트가 claude.ai의 일부로서 실행된 뒤 메시지를 보낼 수 있다. Claude 확장 프로그램은 신뢰할 수 있는 출처의 발신자를 보고 그에 따른다. Gispan은 그 결과를 “확장 프로그램 간의 권한 상승 프리미티브로, Chrome의 보안 모델이 명시적으로 방지하도록 설계된 것”이라고 설명했다.

개념 증명이 실제로 수행한 일

CyberScoop은 Gispan이 원하는 프롬프트를 무엇이든 실행하고, Claude의 안전 가드레일을 뚫고, 사용자 확인 단계를 회피하며 여러 Google 도구 전반에서 행동할 수 있었다고 보도했다. 시연은 구체적이었다. Google Drive 폴더에서 파일을 추출해 무단 제3자와 공유하고, 최근 이메일 활동을 감시하며 사용자를 대신해 메일을 보내고, 연결된 GitHub 저장소에서 비공개 소스 코드를 가져오는 것이었다.

우회 기법들이야말로 곱씹어 볼 만한 부분이다. SecurityWeek는 LayerX가 확인 메시지를 반복적으로 다시 보내 사용자 승인을 위조했으며 — 이를 승인 루핑이라고 한다 — DOM 조작을 이용해 Claude가 볼 수 있는 내용을 바꾸고, 비밀번호와 공유 피드백 같은 민감한 항목 주변의 레이블과 표시를 제거해, 에이전트 자신의 시점에서는 해당 행동이 정당해 보이도록 만들었다고 보도했다. 그렇기 때문에 Manifold Security의 리서치 책임자 Ax Sharma는 CyberScoop에 "이 공격에서 가장 정교한 부분은 인젝션이 아니라, 에이전트가 인식하는 환경이 조작되어 내부에서는 정당해 보이는 행동을 만들어냈다는 점"이라고 말했다.

4월 27일에 보고되어 중복으로 처리되었고, 5월 6일에 부분적으로 수정되었습니다.

사이버스쿱(CyberScoop)에 따르면 LayerX는 2026년 4월 27일 Anthropic에 이 결함을 보고했다. Anthropic은 하루 뒤 해당 버그가 향후 업데이트에서 이미 해결 중인 다른 취약점과 중복된다고 답했다. 그 업데이트인 버전 1.0.70은 5월 6일에 출시되어 권한 있는 작업을 위한 새로운 승인 흐름을 도입했다.

SecurityWeek이 보도한 LayerX의 입장은 그 수정이 증상만 치료했다는 것이다. Anthropic은 "표준" 모드에서 실행되는 확장 프로그램이 원격 명령을 실행하지 못하도록 내부 검사를 추가했지만, 근본적인 메시지 핸들러는 그대로 두었다. 확장 프로그램을 "권한 있는" 모드로 전환하면 — Gispan에 따르면 이는 사용자에게 알리거나 승인을 요청하지 않고 이루어진다 — 하이재킹이 다시 작동했다. CyberScoop은 패치 후에도 Gispan이 일부 시나리오에서 여전히 에이전트를 탈취할 수 있었다고 보도했다. 콜롬비아의 보건 부문 컴퓨터 비상대응팀인 CSIRT Salud는 경보 099에서 같은 주장을 요약했다: 연구자들은 약 3시간 만에 초기 완화 조치를 회피했다고 말했다.

무엇이 확립되어 있고, 무엇이 단지 주장일 뿐인가

아카이브는 이 기록을 {{1}}연구{{/1}}로, 심각도 {{2}}중간{{/2}}, 신뢰도 {{3}}B{{/3}}, {{4}}이의 제기 없음{{/4}}으로 평가하며, {{5}}실제 피해는 기록되지 않았고{{/5}} {{6}}AI 관여가 확인됨{{/6}}으로 표시한다. 그 평가들은 문자 그대로 읽을 만하다. 원래 결함에 관한 모든 설명은 단 하나의 출처인 {{7}}LayerX 자체의 분석 글{{/7}}로 거슬러 올라간다. CyberScoop, SecurityWeek, CSO Online, CPO Magazine은 모두 이를 그대로 전하며, 네 매체 중 어느 곳도 독립적인 재현을 보도하지 않았다. 여기서 교차 확인이란 {{8}}해당 공개 내용이 실제이며 여러 매체에서 일관되게 설명되었다{{/8}}는 뜻이지, {{9}}5월에 두 번째 실험실이 그 메커니즘을 확인했다{{/9}}는 뜻은 아니다.

CVE도 존재하지 않는다. 여기에서 검토된 어떤 보도 내용에도, {{1}}CSIRT Salud{{/1}} 권고에도 식별자는 나타나지 않는다. 대신 그 결함은 확장 프로그램 버전으로 추적된다. 확장 프로그램을 설치한 사용자 수나 Google 또는 GitHub를 연결한 사용자 수에 대한 수치는 Anthropic이나 LayerX가 공개하지 않았다. Anthropic은 CyberScoop의 논평 요청에 응답하지 않았으며, 해당 보도에는 LayerX의 설명에 반박하는 공급업체 성명이 포함되어 있지 않다.

기록에서 매끄럽게 넘기기보다 짚고 넘어갈 만한 두 가지가 있다. 심각도 등급이 서로 일치하지 않는다. 아카이브는 이를 medium이라고 부르고, LayerX의 글은 해당 취약점을 critical이라고 했으며, CSIRT Salud는 경보를 “Alto” — 높음 — 으로 평가했다. 이는 세 주체의 세 가지 판단이며, 이 기사는 하나를 다른 것으로 환산하지 않는다. 그리고 원문 문서는 더 이상 온라인에 없다. LayerX의 블로그 게시물은 현재 Akamai 인수 배너가 걸린 사이트에서 404를 반환하므로, 기술 문서는 CyberScoop, SecurityWeek, CPO Magazine이 실은 인용문으로만 여기서 살아남는다.

그 후 상황: 7월에도 여전히 완료되지 않음

원래 공개 내용에 대해 논평했던 Manifold Security의 Ax Sharma는 계속 파고들었다. 2026년 7월 14일 게시된 글에서 Manifold는 2026년 5월 21일 확장 프로그램 버전 1.0.72를 대상으로 Anthropic에 두 가지 추가 문제를 보고했으며, 두 문제 모두 7월 7일에 출시된 버전 1.0.80에서도 여전히 재현된다고 밝혔다.

첫 번째는 합성 클릭 우회였다. Anthropic의 완화 조치는 임의의 프롬프트 텍스트를 9개의 하드코딩된 작업 식별자로 대체했는데 — 그중에는 usecase-gmail, usecase-gdocs, usecase-calendar, usecase-salesforce가 있으며 — 페이지가 트리거할 수는 있지만 다시 쓸 수는 없었다. Manifold는 이를 실행하는 클릭 핸들러가 event.isTrusted를 전혀 확인하지 않는다는 점을 발견했고, 따라서 claude.ai의 모든 콘텐츠 스크립트가 버튼을 만들고 작업 식별자를 설정한 뒤 가짜 클릭을 디스패치할 수 있다. 기본 "Ask before acting" 모드에서는 사용자에게 여전히 승인 프롬프트가 표시되지만, "Act without asking"이 활성화된 경우 읽기는 조용히 발생한다. Manifold는 해당 경로를 기본 모드에서 CVSS 7.7, 조용한 모드에서 9.6으로 평가했으며, 이 버그는 모델이 아니라 확장 프로그램에 있으며 Opus, Sonnet, Fable의 사이드 패널 모델 선택 전반에서 재현된다고 강조했다.

두 번째는 아키텍처적 문제였습니다. 사이드 패널은 자체 URL에서 skipPermissions=true 매개변수를 읽고, 사용자 제스처나 동의 단계 없이 모든 권한 검사를 건너뛰는 모드로 시작됩니다. Manifold는 해당 경로가 1.0.80에서 그 자체만으로는 원격 악용이 가능하지 않았지만, 향후 어떤 URL 구성 버그든 은밀한 권한 실행으로 바꾸게 한다고 말했습니다. Anthropic은 첫 번째 보고서를 내부 신뢰 경계 문제로 이미 다루어졌다며 종료했고—회사는 그 문제가 "완전한 수정이 있을 때까지 열려 있다"고 말했습니다—두 번째 보고서는 정보성으로 종료했습니다.

그 CVSS 점수들은 Manifold의 발견에 속하는 것이지 LayerX의 원래 ClaudeBleed에 속하는 것이 아니며, 이를 ClaudeBleed에 다시 적용해 해석해서는 안 됩니다. 그 점수들이 입증하는 것은 독립적인 연구소가 몇 주 후에도 다른 확장 프로그램의 스크립트에서 Claude를 여전히 구동할 수 있었다는 점입니다. 이는 LayerX가 설명한 결함 유형에 대해 이용 가능한 가장 강력한 뒷받침이지만, LayerX 자체의 개념 증명을 재현한 것은 아닙니다.

왜 제로 권한 확장 프로그램이 핵심인가

Chrome의 확장 프로그램 모델은 선언된 권한을 기반으로 합니다. 아무것도 요청하지 않는 확장 프로그램은 거의 아무것에도 접근하지 못하도록 되어 있습니다. ClaudeBleed는 권한을 보유하는 주체를 어시스턴트로 만들고 권한이 없는 호출자가 그 권한을 빌려 쓰게 함으로써 이를 뒤집었습니다. CyberScoop이 인용한 Gispan의 표현에 따르면, 이 결함은 확장 프로그램 전반에 걸쳐 권한 상승 프리미티브를 만들어 "Chrome의 확장 프로그램 보안을 사실상 무력화"합니다.

방어자들에게 남는 실질적인 잔여물은 Sharma가 지목한 바로 그것이다. 공격자가 에이전트가 자신의 인터페이스라고 인식하는 대상을 바꿔버렸다면, 프롬프트 스트림을 모니터링하는 것은 도움이 되지 않는다. 눈에 보이는 행동들은 사용자 자신의 클릭과 확인이며, 재생되거나 위조된 것이다. CPO Magazine에 따르면 LayerX가 제시한 방향은 호출자를 묶어두기 위한 확장 프로그램-페이지 간 인증 토큰과 실제 사용자 승인이었다. 그것은 모델 동작의 수정이 아니라 배관 수리의 문제다.

여기에서 검토한 보도 시점 기준으로, ClaudeBleed에 대한 Anthropic의 공개 권고는 아직 나타나지 않았다. 기록은 시연된 개념 증명, 연구진이 몇 시간 안에 우회되었다고 말하는 부분적 수정, 그리고 두 번째 회사가 7월에도 여전히 열려 있다고 보고한 잔여 격차를 갖춘 연구 결과로 남아 있다.