ClaudeBleed: een extensie zonder machtigingen kaapt Claude for Chrome

Op 8 mei 2026 meldden CyberScoop, SecurityWeek en CSO Online elk dezelfde bevinding van browserbeveiligingsbedrijf LayerX: de Claude in Chrome-extensie van Anthropic zou instructies accepteren van elke andere Chrome-extensie die in dezelfde browser is geïnstalleerd, inclusief een extensie die helemaal geen machtigingen aanvraagt. LayerX noemde de fout ClaudeBleed en demonstreerde hoe deze de agent ertoe bracht bestanden uit Google Drive te halen en met een buitenstaander te delen, Gmail te lezen en te verzenden, en code uit een privé-GitHub-repository te kopiëren. De blootstelling trof iedereen die de extensie gebruikte met browserbesturing toegekend en Google of GitHub verbonden; er is geen exploitatie in de praktijk geregistreerd. Het archief dateert dit record op 12 mei 2026, de dag waarop het CSIRT voor de gezondheidssector van Colombia alert 099 over dezelfde fout uitbracht. Het volledige record, inclusief de eigen ernst-, betrouwbaarheids- en schadeclassificaties van het archief, staat in het Orca AI Incident Archive, naast de vermeldingen over browseragents en extensiekaping die eraan grenzen.

De vertrouwensgrens die volgens LayerX ontbrak

De extensie van Anthropic draait op claude.ai en kan, zodra de gebruiker hem browsertoegang geeft, in andere tabbladen handelen. De ontdekking van LayerX was niet dat het model kon worden overgehaald tot wangedrag, maar dat het interne mechanisme van de extensie een aanroeper die het nooit had geverifieerd, überhaupt bij het model kon laten komen. "De fout komt voort uit een instructie in de code van de extensie waardoor elk script dat in de oorspronkelijke browser draait, met Claude's LLM kan communiceren, maar niet wordt geverifieerd wie het script uitvoert," schreef LayerX-onderzoeker Aviad Gispan in het verslag dat CyberScoop citeerde. "Als gevolg daarvan kan elke extensie een contentscript aanroepen (waarvoor geen speciale machtigingen nodig zijn) en opdrachten naar de Claude-extensie sturen."

Het verslag van SecurityWeek verwoordt hetzelfde punt in Chrome's eigen termen: de extensie vertrouwde de origin van de uitvoering — claude.ai — in plaats van de uitvoeringscontext. De extensie van een aanvaller hoeft alleen een contentscript te declareren dat is geconfigureerd om in de main world van de pagina te draaien, zodat het script wordt uitgevoerd als onderdeel van claude.ai, en vervolgens zijn bericht te sturen. De Claude-extensie ziet een afzender op de vertrouwde origin en handelt ernaar. Gispan omschreef het resultaat als "een primitive voor privilege-escalatie tussen extensies, iets wat het beveiligingsmodel van Chrome expliciet ontworpen is om te voorkomen."

Wat de proof of concept daadwerkelijk deed

CyberScoop meldde dat Gispan elke prompt naar keuze kon uitvoeren, door Claude's veiligheidsvangrails heen kon breken, de bevestigingsstap voor de gebruiker kon omzeilen en via verschillende Google-tools kon handelen. De demonstraties waren concreet: bestanden uit Google Drive-mappen halen en deze met onbevoegde partijen delen, recente e-mailactiviteit bespieden en namens de gebruiker e-mail verzenden, en privébroncode uit een verbonden GitHub-repository nemen.

De omzeilingen zijn het deel waar het de moeite loont bij stil te staan. SecurityWeek meldde dat LayerX gebruikersgoedkeuring vervalste door herhaaldelijk een bevestigingsbericht opnieuw te sturen — goedkeuringslooping — en DOM-manipulatie gebruikte om te wijzigen wat Claude kon zien, door labels en indicatoren rond gevoelige items zoals wachtwoorden en de deelfeedback te verwijderen, zodat de acties vanuit het eigen gezichtspunt van de agent legitiem leken. Daarom vertelde Ax Sharma, hoofd onderzoek bij Manifold Security, aan CyberScoop dat "het meest geavanceerde deel van deze aanval niet de injectie is, maar dat de waargenomen omgeving van de agent werd gemanipuleerd om acties voort te brengen die van binnenuit legitiem leken."

Gemeld op 27 april, als duplicaat aangemerkt, gedeeltelijk opgelost op 6 mei

LayerX meldde het probleem op 27 april 2026 aan Anthropic, aldus CyberScoop. Anthropic antwoordde een dag later dat de bug een duplicaat was van een andere kwetsbaarheid die al in een toekomstige update werd aangepakt. Die update, versie 1.0.70, verscheen op 6 mei en introduceerde nieuwe goedkeuringsstromen voor geprivilegieerde acties.

Volgens LayerX, zoals gerapporteerd door SecurityWeek, behandelde de oplossing een symptoom. Anthropic voegde interne controles toe om te voorkomen dat extensies in de "standaardmodus" externe opdrachten uitvoeren, maar liet de onderliggende berichtverwerker intact. Zet de extensie in de "geprivilegieerde" modus — wat volgens Gispan gebeurt zonder dat de gebruiker wordt geïnformeerd of om goedkeuring wordt gevraagd — en de kaping werkte opnieuw. CyberScoop meldde dat Gispan na de patch in sommige scenario's nog steeds de agent kon overnemen. Het Colombiaanse computer emergency response team voor de gezondheidssector, CSIRT Salud, vatte dezelfde bewering samen in alert 099: de onderzoekers zeiden dat ze de eerste mitigerende maatregelen in ongeveer drie uur hadden omzeild.

Wat staat vast, en wat wordt alleen maar beweerd?

Het archief beoordeelt dit record als onderzoek, ernst medium, betrouwbaarheid B, niet betwist, met geen echte schade geregistreerd en AI-betrokkenheid bevestigd. Die beoordelingen zijn het waard om letterlijk te lezen. Elk verslag van de oorspronkelijke fout voert terug naar één bron: LayerX' eigen verslag. CyberScoop, SecurityWeek, CSO Online en CPO Magazine herhalen het allemaal, en geen van de vier meldt een onafhankelijke reproductie. Corroboratie betekent hier dat de openbaarmaking echt is en consistent wordt beschreven in de verschillende publicaties; het betekent niet dat een tweede laboratorium het mechanisme in mei heeft bevestigd.

Er is ook geen CVE. In geen van de hier besproken berichtgeving of in het advies van CSIRT Salud komt een identificatie voor; de kwetsbaarheid wordt in plaats daarvan gevolgd aan de hand van de extensieversie. Anthropic en LayerX hebben geen cijfers gepubliceerd over hoeveel gebruikers de extensie hadden geïnstalleerd, of hoeveel Google of GitHub hadden verbonden. Anthropic reageerde niet op het verzoek om commentaar van CyberScoop, en in de berichtgeving staat geen verklaring van de leverancier die het verhaal van LayerX betwist.

Twee dingen aan dit dossier zijn het vermelden waard in plaats van ze te verdoezelen. De ernstclassificaties komen niet overeen: het archief noemt het "medium", het artikel van LayerX noemde de kwetsbaarheid kritiek, en CSIRT Salud gaf zijn waarschuwing het niveau "Alto" — hoog. Dat zijn drie beoordelingen door drie partijen, en dit artikel zet ze niet in elkaar om. En het primaire document staat niet meer online: de blogpost van LayerX geeft nu een 404 op een site met een banner over de overname door Akamai, dus de technische uiteenzetting leeft hier alleen voort in de citaten die CyberScoop, SecurityWeek en CPO Magazine hebben overgenomen.

Wat er daarna gebeurde: in juli nog steeds niet voltooid

Ax Sharma van Manifold Security, die commentaar had geleverd op de oorspronkelijke openbaarmaking, bleef zoeken. In een op 14 juli 2026 gepubliceerd verslag zei Manifold dat het op 21 mei 2026 twee extra problemen bij Anthropic had gemeld met betrekking tot extensieversie 1.0.72, en dat beide zich nog steeds voordeden in versie 1.0.80, die op 7 juli werd uitgebracht.

De eerste was een bypass via een synthetische klik. De mitigatie van Anthropic had willekeurige prompttekst vervangen door negen hardgecodeerde taakidentificaties — waaronder usecase-gmail, usecase-gdocs, usecase-calendar en usecase-salesforce — die een pagina wel kon activeren, maar niet kon herschrijven. Manifold ontdekte dat de clickhandler die deze activeert nooit event.isTrusted controleert, waardoor elk contentscript op claude.ai de knop kan bouwen, de taakidentificatie kan instellen en een nepaanklik kan dispatchen. In de standaardmodus "Vraag alvorens te handelen" ziet een gebruiker nog een goedkeuringsprompt; met "Handel zonder te vragen" ingeschakeld gebeurt het uitlezen stilzwijgend. Manifold beoordeelde dat pad met CVSS 7.7 in de standaardmodus en 9.6 in de stille modus, en benadrukte dat de bug in de extensie zit en niet in het model, met reproductie bij modelselecties in het zijpaneel met Opus, Sonnet en Fable.

Het tweede was architectonisch. Het zijpaneel leest een parameter skipPermissions=true uit zijn eigen URL en start op in de modus waarbij alle machtigingscontroles worden overgeslagen, zonder gebruikersactie en zonder toestemmingsstap. Manifold zei dat dat pad op zichzelf niet op afstand exploiteerbaar was in 1.0.80, maar dat het elke toekomstige URL-constructiefout omzet in stille uitvoering met privileges. Anthropic sloot het eerste rapport af als al gedekt door het interne trust-boundary-probleem — dat volgens het bedrijf "open blijft in afwachting van een volledige oplossing" — en sloot het tweede af als informatief.

Die CVSS-scores horen bij de bevindingen van Manifold, niet bij LayerX' oorspronkelijke ClaudeBleed, en moeten niet aan dat oorspronkelijke ClaudeBleed worden toegeschreven. Wat ze wel aantonen, is dat een onafhankelijk lab weken later Claude nog steeds kon aansturen vanuit het script van een andere extensie. Dat is de sterkste bevestiging die beschikbaar is voor de klasse van kwetsbaarheid die LayerX beschreef, hoewel het geen reproductie is van LayerX' eigen proof of concept.

Waarom een extensie zonder machtigingen precies de bedoeling is

Het extensiemodel van Chrome is gebaseerd op gedeclareerde machtigingen: een extensie die niets aanvraagt, hoort vrijwel niets te kunnen bereiken. ClaudeBleed draaide dat om door de assistent het onderdeel te maken dat de machtigingen bezit en vervolgens een aanroeper zonder machtigingen die te laten lenen. Gispans formulering, zoals aangehaald door CyberScoop, is dat de fout "effectief de extensiebeveiliging van Chrome doorbreekt" door een privilege-escalatieprimitief tussen extensies te creëren.

Voor verdedigers is het praktische overblijfsel wat Sharma noemde: het monitoren van de promptstroom helpt niet wanneer de aanvaller heeft veranderd wat de agent als zijn eigen interface waarneemt. De zichtbare acties zijn de eigen klikken en bevestigingen van de gebruiker, opnieuw afgespeeld of verzonnen. De door LayerX gesuggereerde richting, volgens CPO Magazine, was authenticatietokens van extensie naar pagina om aanroepers te binden, plus echte goedkeuringen door gebruikers. Dat is een infrastructuurfix, geen fix van modelgedrag.

Op het moment van de hier beoordeelde berichtgeving is er geen openbaar Anthropic-advies over ClaudeBleed verschenen. Het dossier geldt als een onderzoeksbevinding met een aangetoond proof of concept, een gedeeltelijke oplossing waarvan onderzoekers zeggen dat die binnen enkele uren werd omzeild, en een resterend gat dat een tweede bedrijf in juli nog open meldde.