ClaudeBleed: расширение с нулевыми разрешениями угоняет Claude for Chrome

8 мая 2026 года CyberScoop, SecurityWeek и CSO Online независимо сообщили об одной и той же находке компании LayerX, специализирующейся на безопасности браузеров: расширение Claude in Chrome от Anthropic принимало инструкции от любого другого расширения Chrome, установленного в том же браузере, включая расширение, которое вообще не запрашивает разрешений. LayerX назвала эту уязвимость ClaudeBleed и продемонстрировала, как она побуждала агента извлекать файлы из Google Drive и передавать их третьей стороне, читать и отправлять почту в Gmail, а также копировать код из приватного репозитория GitHub. Риску подвергался любой, кто использовал это расширение с предоставленным управлением браузером и подключёнными Google или GitHub; реальных случаев эксплуатации зафиксировано не было. Архив датирует эту запись 12 мая 2026 года — днём, когда CSIRT сектора здравоохранения Колумбии выпустил предупреждение 099 об этой же уязвимости. Полная запись, включая собственные оценки серьёзности, достоверности и ущерба от архива, находится в Orca AI Incident Archive, рядом с соседствующими с ней записями о браузерных агентах и перехвате расширений.

Граница доверия, которая, по словам LayerX, отсутствовала

Расширение Anthropic работает на claude.ai и, после того как пользователь предоставляет ему управление браузером, может действовать в других вкладках. Находка LayerX состояла не в том, что модель можно было уговорить на некорректное поведение, а в том, что внутреннее устройство расширения позволяло вызывающему коду, который оно никогда не проверяло, вообще получить доступ к модели. «Эта уязвимость возникает из-за инструкции в коде расширения, которая позволяет любому скрипту, выполняющемуся в браузере-источнике, связываться с LLM Claude, но не проверяет, кто запускает этот скрипт», — написал исследователь LayerX Авиад Гиспан в отчете, который цитировал CyberScoop. «В результате любое расширение может вызвать контент-скрипт (для которого не требуется никаких специальных разрешений) и отправлять команды расширению Claude».

В материале SecurityWeek та же мысль изложена в терминах самого Chrome: расширение доверяло источнику выполнения — claude.ai —, а не контексту выполнения. Расширению злоумышленника достаточно объявить контент-скрипт, настроенный на выполнение в основном мире страницы, чтобы скрипт выполнялся как часть claude.ai, а затем отправить своё сообщение. Расширение Claude видит отправителя из доверенного источника и подчиняется. Гиспан описал результат как «примитив повышения привилегий, работающий между расширениями, — то, что модель безопасности Chrome явно призвана предотвращать».

Что на самом деле сделал прототип

CyberScoop сообщил, что Gispan мог выполнить любой выбранный им запрос, обойти защитные ограничения Claude, уклониться от этапа подтверждения пользователем и действовать в нескольких инструментах Google. Демонстрации были конкретными: извлечение файлов из папок Google Drive и передача их неавторизованным лицам, слежка за недавней активностью электронной почты и отправка писем от имени пользователя, а также похищение приватного исходного кода из подключённого репозитория GitHub.

Способы обхода — это то, на чём стоит остановиться. SecurityWeek сообщил, что LayerX подделала одобрение пользователя, многократно повторно отправляя сообщение с подтверждением — зацикливание одобрения — и использовала манипуляции с DOM, чтобы изменить то, что мог видеть Claude, удаляя метки и индикаторы вокруг конфиденциальных элементов, таких как пароли и обратная связь при совместном использовании, чтобы действия выглядели легитимными с точки зрения самого агента. Именно поэтому Ax Sharma, руководитель исследований в Manifold Security, сказал CyberScoop, что «самая сложная часть этой атаки — не инъекция, а то, что воспринимаемая агентом среда была изменена так, чтобы порождать действия, выглядевшие легитимными изнутри».

Сообщено 27 апреля, признано дубликатом, частично исправлено 6 мая.

По данным CyberScoop, LayerX сообщила Anthropic об уязвимости 27 апреля 2026 года. Anthropic ответила на следующий день, заявив, что эта ошибка является дубликатом другой уязвимости, которая уже устраняется в будущем обновлении. Это обновление, версия 1.0.70, вышло 6 мая и представило новые процедуры согласования для привилегированных действий.

Позиция LayerX, как сообщает SecurityWeek, заключается в том, что исправление устраняло лишь симптом. Anthropic добавила внутренние проверки, чтобы расширения, работающие в «стандартном» режиме, не могли выполнять удалённые команды, но оставила базовый обработчик сообщений на месте. Переключите расширение в «привилегированный» режим — что, по словам Гиспана, происходит без уведомления пользователя и без запроса его одобрения — и захват снова срабатывал. CyberScoop сообщил, что Гиспан всё ещё мог перехватить управление агентом в некоторых сценариях после патча. Команда реагирования на компьютерные инциденты в сфере здравоохранения Колумбии, CSIRT Salud, обобщила то же утверждение в оповещении 099: исследователи заявили, что обошли первоначальные меры защиты примерно за три часа.

Что установлено, а что лишь утверждается

Архив оценивает эту запись как исследовательскую, уровень серьёзности — средний, уверенность — B, спорности нет, реальный ущерб не зафиксирован, участие ИИ подтверждено. Эти оценки стоит читать буквально. Любое описание исходной уязвимости восходит к одному источнику — собственному материалу LayerX. CyberScoop, SecurityWeek, CSO Online и CPO Magazine все пересказывают его, и ни один из четырёх репортажей не сообщает о независимом воспроизведении. Подтверждение здесь означает, что раскрытие реально и последовательно описывается в разных изданиях; это не означает, что вторая лаборатория подтвердила механизм в мае.

CVE тоже нет. Ни один идентификатор не фигурирует ни в одном из рассмотренных здесь материалов, ни в рекомендации CSIRT Salud; уязвимость отслеживается по версии расширения. Ни Anthropic, ни LayerX не опубликовали данных о том, сколько пользователей установили расширение или подключили Google или GitHub. Anthropic не ответила на запрос CyberScoop о комментарии, и в материале нет заявления поставщика, оспаривающего версию LayerX.

Две вещи в этой записи стоит отметить, а не сглаживать. Оценки серьёзности не совпадают: архив называет её средней, материал LayerX называл уязвимость критической, а CSIRT Salud присвоил своему оповещению оценку «Alto» — высокий. Это три суждения от трёх сторон, и эта статья не превращает одно в другое. И первичный документ больше не доступен онлайн: пост LayerX в блоге теперь выдаёт 404 на сайте, где размещён баннер о приобретении Akamai, поэтому техническое описание сохранилось здесь только в цитатах, которые приводили CyberScoop, SecurityWeek и CPO Magazine.

Что произошло после: в июле всё ещё не завершено

Ax Sharma из Manifold Security, который комментировал первоначальное раскрытие, продолжил поиски. В отчёте, опубликованном 14 июля 2026 года, Manifold заявила, что 21 мая 2026 года направила Anthropic информацию о ещё двух проблемах, касающихся версии расширения 1.0.72, и что обе по-прежнему воспроизводились в версии 1.0.80, выпущенной 7 июля.

Первым был обход с помощью синтетического клика. В рамках исправления Anthropic заменила произвольный текст промпта девятью жёстко заданными идентификаторами задач — среди них usecase-gmail, usecase-gdocs, usecase-calendar и usecase-salesforce, — которые страница могла запускать, но не могла переписать. Manifold обнаружила, что обработчик клика, который их запускает, никогда не проверяет event.isTrusted, поэтому любой контент-скрипт на claude.ai может создать кнопку, задать идентификатор задачи и инициировать поддельный клик. В режиме по умолчанию «Спрашивать перед действием» пользователь всё ещё видит запрос на подтверждение; при включённом «Действовать без запроса» чтение происходит без уведомления. Manifold оценила этот путь в CVSS 7.7 в режиме по умолчанию и 9.6 в варианте без уведомления и подчеркнула, что ошибка находится в расширении, а не в модели, и воспроизводится при выборе моделей Opus, Sonnet и Fable в боковой панели.

Второй — архитектурный. Боковая панель считывает из собственного URL параметр skipPermissions=true и загружается в режим пропуска всех проверок разрешений — без жеста пользователя и без шага согласия. По словам Manifold, сам по себе этот путь не был удалённо эксплуатируемым в 1.0.80, но он превращает любую будущую ошибку конструирования URL в тихое привилегированное исполнение. Anthropic закрыла первый отчёт как уже охваченный внутренней проблемой границы доверия — которая, по словам компании, «остаётся открытой до полного исправления», — а второй закрыла как информативный.

Эти оценки CVSS относятся к находкам Manifold, а не к оригинальному ClaudeBleed от LayerX, и их не следует переносить обратно на него. Что они действительно устанавливают, так это то, что независимая лаборатория спустя несколько недель всё ещё могла управлять Claude с помощью скрипта другого расширения. Это самое сильное подтверждение, доступное для класса уязвимостей, описанного LayerX, хотя это и не воспроизведение собственного proof of concept LayerX.

Почему расширение с нулевыми разрешениями — это и есть суть

Модель расширений Chrome построена на объявленных разрешениях: расширение, которое ничего не запрашивает, должно почти ничего не получать. ClaudeBleed перевернул это, сделав помощника тем, кто владеет разрешениями, а затем позволив вызывающему без разрешений заимствовать их. Формулировка Гиспана, как цитирует CyberScoop, такова: этот недостаток «фактически ломает безопасность расширений Chrome», создавая примитив повышения привилегий между расширениями.

Для защитников практический вывод — тот, который назвал Шарма: мониторинг потока промптов не помогает, когда злоумышленник изменил то, что агент воспринимает как собственный интерфейс. Видимые действия — это собственные клики и подтверждения пользователя, воспроизведённые или сфабрикованные. Предложенное LayerX направление, по данным CPO Magazine, — токены аутентификации расширения к странице для привязки вызывающих сторон, а также реальные подтверждения пользователя. Это исправление на уровне инфраструктуры, а не поведения модели.

На момент рассмотренных здесь публикаций публичного уведомления Anthropic о ClaudeBleed не появилось. Эта история остаётся исследовательской находкой с продемонстрированной концепцией работоспособности, частичным исправлением, которое, по словам исследователей, обошли в течение нескольких часов, и остаточной проблемой, о которой вторая фирма в июле сообщала как о всё ещё открытой.