ClaudeBleed: uma extensão sem permissões sequestra o Claude for Chrome

Em 8 de maio de 2026, CyberScoop, SecurityWeek e CSO Online relataram, cada um, a mesma descoberta da empresa de segurança de navegadores LayerX: a extensão Claude in Chrome, da Anthropic, aceitaria instruções de qualquer outra extensão do Chrome instalada no mesmo navegador, inclusive de uma que não solicita nenhuma permissão. A LayerX deu o nome de ClaudeBleed à falha e demonstrou que ela levava o agente a buscar arquivos no Google Drive e compartilhá-los com terceiros, ler e enviar Gmail e copiar código de um repositório privado do GitHub. A exposição afetava qualquer pessoa que executasse a extensão com controle do navegador concedido e Google ou GitHub conectado; nenhuma exploração no mundo real foi registrada. O arquivo data este registro como 12 de maio de 2026, o dia em que o CSIRT do setor de saúde da Colômbia emitiu o alerta 099 sobre a mesma falha. O registro completo, incluindo as próprias classificações de gravidade, confiança e dano do arquivo, está no Orca AI Incident Archive, ao lado das entradas de agente de navegador e de sequestro de extensão que lhe são adjacentes.

A fronteira de confiança que a LayerX diz que estava faltando

A extensão da Anthropic é executada no claude.ai e, depois que o usuário concede a ela controle do navegador, pode atuar dentro de outras abas. A descoberta da LayerX não foi que se poderia convencer o modelo a se comportar mal, mas que o mecanismo interno da extensão permitia que um chamador que ela nunca havia verificado chegasse ao modelo. "A falha decorre de uma instrução no código da extensão que permite que qualquer script em execução no navegador de origem se comunique com o LLM do Claude, mas não verifica quem está executando o script", escreveu o pesquisador da LayerX, Aviad Gispan, no relatório citado pelo CyberScoop. "Como resultado, qualquer extensão pode invocar um script de conteúdo (que não exige permissões especiais) e emitir comandos para a extensão do Claude."

A conta da SecurityWeek apresenta o mesmo ponto nos próprios termos do Chrome: a extensão confiava na origem da execução — claude.ai — em vez do contexto de execução. A extensão de um atacante só precisa declarar um script de conteúdo configurado para ser executado no mundo principal da página, de modo que o script seja executado como parte do claude.ai, e então enviar sua mensagem. A extensão do Claude vê um remetente na origem confiável e obedece. Gispan descreveu o resultado como "uma primitiva de escalonamento de privilégios entre extensões, algo que o modelo de segurança do Chrome foi explicitamente projetado para impedir."

O que a prova de conceito realmente fez

A CyberScoop relatou que Gispan poderia executar qualquer prompt que escolhesse, burlar as barreiras de segurança do Claude, evadir a etapa de confirmação do usuário e agir em várias ferramentas do Google. As demonstrações foram concretas: extrair arquivos de pastas do Google Drive e compartilhá-los com partes não autorizadas, monitorar a atividade recente de e-mail e enviar mensagens em nome do usuário, e obter código-fonte privado de um repositório GitHub conectado.

Os bypasses são a parte que vale a pena examinar com atenção. A SecurityWeek relatou que a LayerX forjou a aprovação do usuário reenviando repetidamente uma mensagem de confirmação — looping de aprovação — e usou manipulação de DOM para alterar o que Claude podia ver, removendo rótulos e indicadores em torno de itens sensíveis, como senhas e o feedback de compartilhamento, para que as ações parecessem legítimas dentro da própria visão do agente. É por isso que Ax Sharma, chefe de pesquisa da Manifold Security, disse ao CyberScoop que "a parte mais sofisticada deste ataque não é a injeção, mas o fato de o ambiente percebido pelo agente ter sido manipulado para produzir ações que pareciam legítimas por dentro".

Reportado em 27 de abril, considerado duplicado, parcialmente corrigido em 6 de maio

Segundo o CyberScoop, a LayerX relatou a falha à Anthropic em 27 de abril de 2026. A Anthropic respondeu um dia depois, dizendo que o bug era uma duplicata de outra vulnerabilidade já sendo tratada em uma atualização futura. Essa atualização, a versão 1.0.70, chegou em 6 de maio e introduziu novos fluxos de aprovação para ações privilegiadas.

A posição da LayerX, conforme noticiado pela SecurityWeek, é que a correção tratou um sintoma. A Anthropic adicionou verificações internas para impedir que extensões em execução no modo "standard" executassem comandos remotos, mas deixou o manipulador de mensagens subjacente no lugar. Basta mudar a extensão para o modo "privileged" — o que, segundo Gispan, acontece sem que o usuário seja notificado ou solicitado a aprovar — e o sequestro funcionou novamente. A CyberScoop relatou que Gispan ainda conseguiu assumir o controle do agente em alguns cenários após o patch. A equipe de resposta a emergências cibernéticas do setor de saúde da Colômbia, CSIRT Salud, resumiu a mesma alegação no alerta 099: os pesquisadores disseram que haviam contornado as mitigações iniciais em cerca de três horas.

O que está estabelecido e o que é apenas alegado

O arquivo classifica este registro como pesquisa, severidade média, confiança B, não contestado, sem dano real registrado e com envolvimento de IA confirmado. Essas classificações merecem ser lidas literalmente. Todo relato da falha original remonta a uma única fonte: o próprio texto da LayerX. CyberScoop, SecurityWeek, CSO Online e CPO Magazine todos o repetem, e nenhum dos quatro relata uma reprodução independente. Corroboração aqui significa que a divulgação é real e descrita de forma consistente entre os veículos; não significa que um segundo laboratório confirmou o mecanismo em maio.

Também não há um CVE. Nenhum identificador aparece em nenhuma das reportagens revisadas aqui nem no aviso do CSIRT Salud; a falha é rastreada pela versão da extensão. Nem a Anthropic nem a LayerX publicaram qualquer número sobre quantos usuários tinham a extensão instalada ou quantos tinham Google ou GitHub conectados. A Anthropic não respondeu ao pedido de comentário do CyberScoop, e a reportagem não traz nenhuma declaração do fornecedor contestando o relato da LayerX.

Duas coisas no registro merecem ser sinalizadas, e não amenizadas. As classificações de gravidade não são convergentes: o arquivo a classifica como média, a análise da LayerX classificou a vulnerabilidade como crítica, e o CSIRT Salud atribuiu ao seu alerta a classificação "Alto" — alta. São três julgamentos de três partes, e este artigo não converte um no outro. E o documento primário não está mais on-line: o post do blog da LayerX agora retorna um 404 em um site que exibe um banner de aquisição da Akamai, de modo que a análise técnica sobrevive aqui apenas nas citações veiculadas por CyberScoop, SecurityWeek e CPO Magazine.

O que aconteceu depois: ainda não concluído em julho

Ax Sharma, da Manifold Security, que havia comentado a divulgação original, continuou investigando. Em um artigo publicado em 14 de julho de 2026, a Manifold disse que havia relatado dois outros problemas à Anthropic em 21 de maio de 2026 referentes à versão 1.0.72 da extensão, e que ambos ainda se reproduziam na versão 1.0.80, lançada em 7 de julho.

A primeira foi um bypass por clique sintético. A mitigação da Anthropic havia substituído o texto de prompt arbitrário por nove identificadores de tarefa codificados fixamente — entre eles usecase-gmail, usecase-gdocs, usecase-calendar e usecase-salesforce — que uma página poderia acionar, mas não reescrever. A Manifold descobriu que o manipulador de clique que os dispara nunca verifica event.isTrusted, então qualquer content script no claude.ai pode construir o botão, definir o identificador de tarefa e despachar um clique falso. No modo padrão "Perguntar antes de agir", o usuário ainda vê uma solicitação de aprovação; com "Agir sem perguntar" habilitado, a leitura ocorre silenciosamente. A Manifold classificou esse caminho como CVSS 7,7 no modo padrão e 9,6 no silencioso, e destacou que o bug está na extensão, não no modelo, reproduzindo-se entre as seleções de modelo do painel lateral Opus, Sonnet e Fable.

O segundo foi arquitetural. O painel lateral lê um parâmetro skipPermissions=true de sua própria URL e inicia em modo de ignorar todas as verificações de permissão, sem gesto do usuário e sem etapa de consentimento. A Manifold disse que esse caminho não era explorável remotamente no 1.0.80 por si só, mas que converte qualquer bug futuro de construção de URL em execução privilegiada silenciosa. A Anthropic encerrou o primeiro relatório como já coberto pela questão interna de limite de confiança — que a empresa disse que "permanece em aberto até uma correção completa" — e encerrou o segundo como informativo.

Essas pontuações CVSS pertencem às descobertas da Manifold, não ao ClaudeBleed original da LayerX, e não devem ser atribuídas a ele. O que elas estabelecem é que um laboratório independente, semanas depois, ainda conseguia controlar o Claude por meio do script de outra extensão. Essa é a corroboração mais forte disponível para a classe de falha descrita pela LayerX, embora não seja uma reprodução do próprio proof of concept da LayerX.

Por que uma extensão sem permissões é o ponto principal

O modelo de extensões do Chrome baseia-se em permissões declaradas: uma extensão que não pede nada deveria alcançar quase nada. O ClaudeBleed inverteu isso ao fazer do assistente a entidade que detém as permissões e depois permitir que um chamador sem permissões as tome emprestadas. A formulação de Gispan, conforme citada pelo CyberScoop, é que a falha “efetivamente quebra a segurança de extensões do Chrome” ao criar uma primitiva de escalonamento de privilégios entre extensões.

Para os defensores, o resíduo prático é aquele que Sharma nomeou: monitorar o fluxo de prompts não ajuda quando o atacante alterou aquilo que o agente percebe como sua própria interface. As ações visíveis são os próprios cliques e confirmações do usuário, reproduzidos ou fabricados. A direção sugerida pela LayerX, segundo a CPO Magazine, era tokens de autenticação de extensão para página para vincular os chamadores, além de aprovações reais do usuário. Isso é uma correção de encanamento, não uma correção de comportamento do modelo.

Até o momento das reportagens aqui analisadas, não surgiu nenhum aviso público da Anthropic sobre o ClaudeBleed. O registro permanece como um achado de pesquisa com uma prova de conceito demonstrada, uma correção parcial que, segundo os pesquisadores, foi contornada em poucas horas, e uma lacuna residual que uma segunda empresa relatou ainda estar aberta em julho.