ClaudeBleed: rozszerzenie bez żadnych uprawnień przejmuje Claude for Chrome

{{1}}8 maja 2026 r. CyberScoop, SecurityWeek i CSO Online poinformowały niezależnie o tym samym odkryciu firmy zajmującej się bezpieczeństwem przeglądarek LayerX{{/1}}: {{2}}rozszerzenie Claude in Chrome firmy Anthropic przyjmowało instrukcje od dowolnego innego rozszerzenia Chrome zainstalowanego w tej samej przeglądarce, w tym od takiego, które nie żąda żadnych uprawnień.{{/2}} {{3}}LayerX nazwała tę lukę ClaudeBleed i zademonstrowała, jak skłania ona agenta do pobierania plików z Google Drive i udostępniania ich podmiotowi zewnętrznemu, czytania i wysyłania wiadomości Gmail oraz kopiowania kodu z prywatnego repozytorium GitHub.{{/3}} {{4}}Narażeni byli wszyscy, którzy uruchamiali to rozszerzenie z przyznaną kontrolą przeglądarki i połączeniem z Google lub GitHub; nie odnotowano żadnego wykorzystania w rzeczywistym świecie.{{/4}} {{5}}Archiwum datuje ten wpis na 12 maja 2026 r., dzień, w którym kolumbijski CSIRT sektora ochrony zdrowia wydał alert 099 dotyczący tej samej luki.{{/5}} {{6}}Pełny wpis, obejmujący własne oceny wagi, pewności i szkodliwości archiwum, znajduje się w Orca AI Incident Archive, obok sąsiednich wpisów dotyczących agentów przeglądarkowych i przejmowania rozszerzeń.{{/6}}

Granica zaufania, której według LayerX brakowało

Rozszerzenie Anthropic działa na claude.ai i po przyznaniu mu przez użytkownika kontroli nad przeglądarką może działać w innych kartach. Odkrycie LayerX nie polegało na tym, że model dało się namówić do niewłaściwego zachowania, lecz na tym, że infrastruktura rozszerzenia pozwalała wywołującemu, którego nigdy nie zweryfikowano, w ogóle dotrzeć do modelu. „Luka wynika z instrukcji w kodzie rozszerzenia, która pozwala dowolnemu skryptowi działającemu w przeglądarce źródłowej komunikować się z LLM Claude’a, ale nie weryfikuje, kto uruchamia ten skrypt” — napisał badacz LayerX, Aviad Gispan, w opisie, który zacytował CyberScoop. „W rezultacie dowolne rozszerzenie może wywołać content script (który nie wymaga żadnych specjalnych uprawnień) i wydawać polecenia rozszerzeniu Claude”.

Konto SecurityWeek ujmuje ten sam punkt w kategoriach samego Chrome'a: rozszerzenie ufało pochodzeniu kontekstu wykonania — claude.ai — a nie samemu kontekstowi wykonania. Rozszerzenie atakującego musi jedynie zadeklarować skrypt treści skonfigurowany do działania w głównym świecie strony, tak aby skrypt wykonywał się jako część claude.ai, a następnie wysłać swoją wiadomość. Rozszerzenie Claude widzi nadawcę z zaufanego pochodzenia i spełnia żądanie. Gispan opisał ten rezultat jako „prymityw eskalacji uprawnień między rozszerzeniami, czyli coś, czego model bezpieczeństwa Chrome'a został wyraźnie zaprojektowany, by zapobiegać”.

Co tak naprawdę zrobił proof of concept

CyberScoop poinformował, że Gispan mógł wykonać dowolny wybrany przez siebie prompt, przełamać zabezpieczenia Claude'a, ominąć etap potwierdzenia przez użytkownika i działać w obrębie kilku narzędzi Google. Demonstracje były konkretne: wyciąganie plików z folderów Google Drive i udostępnianie ich nieuprawnionym stronom, monitorowanie ostatniej aktywności e-mailowej i wysyłanie wiadomości w imieniu użytkownika oraz pobieranie prywatnego kodu źródłowego z podłączonego repozytorium GitHub.

Obejścia to część, nad którą warto się zatrzymać. SecurityWeek poinformował, że LayerX fałszował zgodę użytkownika, wielokrotnie ponownie wysyłając komunikat potwierdzający — pętla zatwierdzeń — oraz wykorzystał manipulację DOM, aby zmienić to, co Claude może zobaczyć, usuwając etykiety i wskaźniki wokół wrażliwych elementów, takich jak hasła i informacje zwrotne dotyczące udostępniania, tak aby działania wyglądały na uzasadnione z perspektywy samego agenta. Dlatego Ax Sharma, szef działu badań w Manifold Security, powiedział CyberScoop, że „najbardziej wyrafinowaną częścią tego ataku nie jest wstrzyknięcie, ale to, że postrzegane środowisko agenta zostało zmanipulowane, by generować działania, które od wewnątrz wyglądały na uzasadnione”.

Zgłoszono 27 kwietnia, uznano za duplikat, częściowo naprawiono 6 maja

Według CyberScoop LayerX zgłosił tę lukę firmie Anthropic 27 kwietnia 2026 r. Anthropic odpowiedział dzień później, twierdząc, że błąd jest duplikatem innej luki, którą już zajmowano się w ramach przyszłej aktualizacji. Ta aktualizacja, wersja 1.0.70, pojawiła się 6 maja i wprowadziła nowe procesy zatwierdzania działań uprzywilejowanych.

Stanowisko LayerX, o którym poinformował SecurityWeek, jest takie, że poprawka leczyła objaw. Anthropic dodał wewnętrzne mechanizmy kontroli, aby uniemożliwić rozszerzeniom działającym w trybie „standardowym” wykonywanie zdalnych poleceń, ale pozostawił podstawowy mechanizm obsługi komunikatów bez zmian. Przełączenie rozszerzenia w tryb „uprzywilejowany” — co, jak powiedział Gispan, następuje bez powiadamiania użytkownika lub pytania go o zgodę — i przejęcie znów działało. CyberScoop poinformował, że Gispan nadal był w stanie przejąć agenta w niektórych scenariuszach po zastosowaniu poprawki. Kolumbijski zespół reagowania na incydenty komputerowe w sektorze ochrony zdrowia, CSIRT Salud, podsumował tę samą tezę w alercie 099: badacze twierdzili, że obeszli początkowe środki zaradcze w około trzy godziny.

Co jest ustalone, a co tylko twierdzone

Archiwum ocenia ten rekord jako badawczy, o średniej wadze, pewności B, niekwestionowany, bez odnotowanych rzeczywistych szkód i z potwierdzonym udziałem AI. Te oceny warto czytać dosłownie. Każda relacja o pierwotnej wadzie prowadzi do jednego źródła — własnego opracowania LayerX. CyberScoop, SecurityWeek, CSO Online i CPO Magazine wszystkie ją powtarzają, a żaden z tych czterech serwisów nie podaje niezależnego odtworzenia. Potwierdzenie w tym przypadku oznacza, że ujawnienie jest prawdziwe i spójnie opisane w różnych mediach; nie oznacza, że w maju drugie laboratorium potwierdziło mechanizm.

Nie ma też CVE. Żaden identyfikator nie pojawia się w żadnym z omówionych tu materiałów ani w biuletynie CSIRT Salud; zamiast tego luka jest śledzona według wersji rozszerzenia. Anthropic ani LayerX nie opublikowały danych o tym, ilu użytkowników miało zainstalowane rozszerzenie lub ilu miało połączone Google albo GitHub. Anthropic nie odpowiedział na prośbę CyberScoop o komentarz, a relacja nie zawiera oświadczenia dostawcy kwestionującego opis LayerX.

Dwie rzeczy w tym materiale warto odnotować, a nie wygładzać. Oceny wagi nie są zgodne: archiwum określa ją jako średnią, publikacja LayerX nazywała tę lukę krytyczną, a CSIRT Salud ocenił swój alert jako „Alto” — wysoki. To trzy oceny trzech stron i ten artykuł nie zamienia jednej w drugą. A dokument źródłowy nie jest już dostępny online: wpis na blogu LayerX zwraca teraz 404 na stronie, która zawiera banner przejęcia przez Akamai, więc techniczna publikacja przetrwała tutaj tylko w cytatach, które zamieściły CyberScoop, SecurityWeek i CPO Magazine.

Co się stało później: w lipcu nadal nieukończone

Ax Sharma z Manifold Security, który skomentował pierwotne ujawnienie, szukał dalej. W opublikowanym 14 lipca 2026 r. artykule Manifold poinformował, że 21 maja 2026 r. zgłosił Anthropic dwa kolejne problemy dotyczące wersji rozszerzenia 1.0.72 oraz że oba nadal występowały w wersji 1.0.80 wydanej 7 lipca.

Pierwszy polegał na obejściu za pomocą syntetycznego kliknięcia. Środek zaradczy Anthropic zastąpił dowolny tekst promptu dziewięcioma zakodowanymi na stałe identyfikatorami zadań — wśród nich usecase-gmail, usecase-gdocs, usecase-calendar i usecase-salesforce — które strona mogła wywołać, ale nie mogła przepisać. Manifold odkrył, że procedura obsługi kliknięcia, która je uruchamia, nigdy nie sprawdza event.isTrusted, więc dowolny skrypt treści na claude.ai może zbudować przycisk, ustawić identyfikator zadania i wywołać fałszywe kliknięcie. W domyślnym trybie „Ask before acting” użytkownik nadal widzi monit o zatwierdzenie; po włączeniu „Act without asking” odczyt następuje po cichu. Manifold ocenił tę ścieżkę na CVSS 7.7 w trybie domyślnym i 9.6 w trybie cichym, podkreślając, że błąd tkwi w rozszerzeniu, a nie w modelu, i reprodukuje się przy wyborze modelu Opus, Sonnet i Fable w panelu bocznym.

Drugie miało charakter architektoniczny. Panel boczny odczytuje z własnego URL parametr skipPermissions=true i uruchamia się w trybie pomijania wszystkich kontroli uprawnień, bez działania użytkownika i bez etapu zgody. Manifold twierdził, że ta ścieżka sama w sobie nie była podatna na zdalne wykorzystanie w wersji 1.0.80, ale że zamienia każdy przyszły błąd konstruowania URL w ciche wykonanie z uprawnieniami. Anthropic zamknęła pierwsze zgłoszenie jako już objęte wewnętrznym problemem granicy zaufania — który, jak stwierdziła firma, „pozostaje otwarty do czasu pełnej naprawy” — a drugie zamknęła jako informacyjne.

Te wyniki CVSS należą do ustaleń Manifold, a nie do pierwotnego ClaudeBleed firmy LayerX, i nie należy ich z powrotem przypisywać do niego. Ustalają one jednak, że niezależne laboratorium, tygodnie później, wciąż mogło sterować Claude'em za pomocą skryptu innego rozszerzenia. To najsilniejsze dostępne potwierdzenie dla klasy luki opisanej przez LayerX, choć nie jest to reprodukcja własnego proof of concept LayerX.

Dlaczego kluczem jest rozszerzenie z zerowymi uprawnieniami

Model rozszerzeń Chrome opiera się na deklarowanych uprawnieniach: rozszerzenie, które o nic nie prosi, powinno mieć dostęp niemal do niczego. ClaudeBleed odwrócił to, czyniąc asystenta tym, co posiada uprawnienia, a następnie pozwalając wywołującemu bez uprawnień pożyczyć je. Gispan, cytowany przez CyberScoop, ujmuje to w ten sposób, że wada „skutecznie łamie bezpieczeństwo rozszerzeń Chrome”, tworząc prymityw eskalacji uprawnień między rozszerzeniami.

Dla obrońców praktycznym wnioskiem pozostaje ten wskazany przez Sharmę: monitorowanie strumienia promptów nie pomaga, gdy atakujący zmienił to, co agent postrzega jako własny interfejs. Widoczne działania to własne kliknięcia i potwierdzenia użytkownika — odtwarzane lub sfabrykowane. Sugerowany przez LayerX kierunek, według CPO Magazine, to tokeny uwierzytelniania rozszerzenia do strony wiążące wywołujących, a do tego rzeczywiste zatwierdzenia użytkownika. To poprawka infrastrukturalna, a nie zmiana zachowania modelu.

Według przeanalizowanych tu doniesień nie ukazało się publiczne ostrzeżenie Anthropic dotyczące ClaudeBleed. Sprawa pozostaje ustaleniem badawczym z wykazanym proof of concept, częściową poprawką, którą — jak twierdzą badacze — obejdzono w ciągu kilku godzin, oraz szczątkową luką, którą druga firma zgłosiła jako wciąż otwartą w lipcu.