ClaudeBleed: ett tillägg utan behörigheter kapar Claude for Chrome

Den 8 maj 2026 rapporterade CyberScoop, SecurityWeek och CSO Online var för sig samma fynd från webbläsarsäkerhetsföretaget LayerX: Anthropics Chrome-tillägg Claude in Chrome skulle acceptera instruktioner från vilket annat Chrome-tillägg som helst som var installerat i samma webbläsare, inklusive ett som inte begär några behörigheter alls. LayerX namngav sårbarheten ClaudeBleed och demonstrerade hur den drev agenten att hämta filer från Google Drive och dela dem med en utomstående part, läsa och skicka Gmail och kopiera kod från ett privat GitHub-förvar. Exponeringen drabbade alla som körde tillägget med webbläsarkontroll beviljad och Google eller GitHub anslutet; ingen exploatering i verkligheten har registrerats. Arkivet daterar denna post till den 12 maj 2026, dagen då Colombias CSIRT för hälso- och sjukvårdssektorn utfärdade varning 099 om samma sårbarhet. Den fullständiga posten, inklusive arkivets egna allvarlighets-, förtroende- och skadegrader, finns i Orca AI Incident Archive, tillsammans med posterna om webbläsaragent och tilläggskapning som ligger intill den.

Förtroendegränsen som LayerX säger saknades

Anthropics tillägg körs på claude.ai och kan, när användaren har gett det kontroll över webbläsaren, agera i andra flikar. LayerX:s upptäckt var inte att modellen kunde övertalas att bete sig illa, utan att tilläggets tekniska uppbyggnad lät en anropare som det aldrig hade granskat över huvud taget nå modellen. "Bristen kommer från en instruktion i tilläggets kod som gör att alla skript som körs i ursprungswebbläsaren kan kommunicera med Claudes LLM, men som inte verifierar vem som kör skriptet", skrev LayerX-forskaren Aviad Gispan i den rapport som CyberScoop citerade. "Som ett resultat kan vilket tillägg som helst anropa ett content script (som inte kräver några särskilda behörigheter) och skicka kommandon till Claude-tillägget."

SecurityWeeks redogörelse formulerar samma poäng i Chromes egna termer: tillägget litade på ursprunget för exekveringen – claude.ai – snarare än på exekveringskontexten. En angripares tillägg behöver bara deklarera ett innehållsskript som är konfigurerat att köras i sidans huvudvärld, så att skriptet körs som en del av claude.ai, och sedan skicka sitt meddelande. Claude-tillägget ser en avsändare på det betrodda ursprunget och lyder. Gispan beskrev resultatet som "en primitiv för privilegieeskalering mellan tillägg, något som Chromes säkerhetsmodell uttryckligen är utformad för att förhindra."

Vad proof of concept faktiskt gjorde

CyberScoop rapporterade att Gispan kunde utföra vilken prompt som helst som han valde, ta sig igenom Claudes säkerhetsspärrar, undvika steget med användarbekräftelse och agera i flera Google-verktyg. Demonstrationerna var konkreta: att extrahera filer från Google Drive-mappar och dela dem med obehöriga parter, övervaka senaste e-postaktivitet och skicka e-post i användarens namn, samt hämta privat källkod från ett anslutet GitHub-förvar.

Kringgåendena är den del som är värd att uppehålla sig vid. SecurityWeek rapporterade att LayerX förfalskade användarens godkännande genom att upprepade gånger skicka ett bekräftelsemeddelande igen – godkännandeloopning – och använde DOM-manipulation för att ändra vad Claude kunde se, genom att ta bort etiketter och indikatorer kring känsliga objekt som lösenord och delningsåterkopplingen, så att åtgärderna framstod som legitima från agentens eget perspektiv. Det är därför Ax Sharma, forskningschef på Manifold Security, sade till CyberScoop att "den mest sofistikerade delen av den här attacken inte är injektionen, utan att agentens uppfattade miljö manipulerades för att åstadkomma åtgärder som såg legitima ut inifrån."

Rapporterades den 27 april, ansågs vara en dubblett, delvis åtgärdat den 6 maj

LayerX rapporterade bristen till Anthropic den 27 april 2026, enligt CyberScoop. Anthropic svarade en dag senare och sade att buggen var en dubblett av en annan sårbarhet som redan åtgärdades i en framtida uppdatering. Den uppdateringen, version 1.0.70, kom den 6 maj och introducerade nya godkännandeflöden för privilegierade åtgärder.

LayerX ståndpunkt, enligt SecurityWeek, är att åtgärden behandlade ett symptom. Anthropic lade till interna kontroller för att hindra tillägg som körs i "standard"-läge från att utföra fjärrkommandon men lämnade den underliggande meddelandehanteraren på plats. Växla tillägget till "privilegierat" läge – vilket enligt Gispan sker utan att användaren meddelas eller ombeds godkänna – och kapningen fungerade igen. CyberScoop rapporterade att Gispan fortfarande kunde ta över agenten i vissa scenarier efter patchen. Colombias CSIRT för hälso- och sjukvårdssektorn, CSIRT Salud, sammanfattade samma påstående i varning 099: forskarna sade att de hade kringgått de initiala åtgärderna på ungefär tre timmar.

Vad som är fastställt och vad som bara är påstått

Arkivet graderar denna post som forskning, allvarlighetsgrad medel, konfidens B, inte omtvistad, utan dokumenterad verklig skada och med bekräftad AI-inblandning. Dessa graderingar är värda att läsas bokstavligt. Varje redogörelse för den ursprungliga bristen går tillbaka till en enda källa: LayerX egen beskrivning. CyberScoop, SecurityWeek, CSO Online och CPO Magazine återger alla den, och ingen av de fyra rapporterar någon oberoende reproduktion. Bekräftelse här innebär att avslöjandet är verkligt och beskrivs konsekvent i olika medier; det betyder inte att ett andra laboratorium bekräftade mekanismen i maj.

Inte heller finns det någon CVE. Ingen identifierare förekommer i någon av de rapporteringar som granskats här eller i CSIRT Salud-rådgivningen; sårbarheten spåras i stället via tilläggsversion. Inga siffror på hur många användare som hade tillägget installerat, eller hur många som hade Google eller GitHub anslutet, har publicerats av Anthropic eller LayerX. Anthropic svarade inte på CyberScoops begäran om kommentar, och rapporteringen innehåller inget uttalande från leverantören som bestrider LayerX:s redogörelse.

Två saker i underlaget förtjänar att uppmärksammas snarare än att slätas över. Allvarlighetsgraderna stämmer inte överens: arkivet klassar den som medel, LayerX:s genomgång kallade sårbarheten kritisk och CSIRT Salud graderade sin varning till ”Alto” – hög. Det är tre bedömningar från tre parter, och den här artikeln omvandlar inte den ena till den andra. Och primärdokumentet finns inte längre online: LayerX:s blogginlägg returnerar nu 404 på en webbplats som bär en banner om Akamais förvärv, så den tekniska genomgången finns här bara kvar i de citat som CyberScoop, SecurityWeek och CPO Magazine förmedlade.

Vad hände efter: fortfarande inte klart i juli

Manifold Securitys Ax Sharma, som hade kommenterat den ursprungliga avslöjandet, fortsatte att leta. I en skriftlig rapport publicerad den 14 juli 2026 uppgav Manifold att man hade rapporterat ytterligare två problem till Anthropic den 21 maj 2026 gällande tilläggsversion 1.0.72, och att båda fortfarande gick att återskapa i version 1.0.80, som släpptes den 7 juli.

Den första var en syntetisk klick-bypass. Anthropics åtgärd hade ersatt godtycklig prompttext med nio hårdkodade uppgiftsidentifierare – bland dem usecase-gmail, usecase-gdocs, usecase-calendar och usecase-salesforce – som en sida kunde utlösa men inte skriva om. Manifold upptäckte att klickhanteraren som utlöser dem aldrig kontrollerar event.isTrusted, så vilket content script som helst på claude.ai kan bygga knappen, ange uppgiftsidentifieraren och skicka ett falskt klick. I standardläget "Ask before acting" ser användaren fortfarande en godkännandeprompt; med "Act without asking" aktiverat sker läsningen tyst. Manifold bedömde den vägen till CVSS 7,7 i standardläget och 9,6 i det tysta läget, och betonade att buggen finns i tillägget snarare än i modellen, med reproduktion över modellvalen Opus, Sonnet och Fable i sidopanelen.

Den andra var arkitektonisk. Sidopanelen läser en parameter skipPermissions=true från sin egen URL och startar i läget där alla behörighetskontroller hoppas över, utan någon användarinteraktion och utan något samtyckessteg. Manifold sade att den vägen inte gick att exploatera på distans i 1.0.80 i sig, men att den förvandlar varje framtida URL-konstruktionsbugg till tyst exekvering med privilegier. Anthropic stängde den första rapporten som redan täckt av det interna förtroendegränsproblemet – som företaget sade "fortfarande är öppet i väntan på en fullständig åtgärd" – och stängde den andra som informativ.

De där CVSS-poängen tillhör Manifolds fynd, inte LayerX ursprungliga ClaudeBleed, och bör inte föras tillbaka på det. Vad de däremot visar är att ett oberoende laboratorium, veckor senare, fortfarande kunde styra Claude från en annan extensions skript. Det är den starkaste tillgängliga bekräftelsen för den typ av sårbarhet som LayerX beskrev, även om det inte är en reproduktion av LayerX eget proof of concept.

Varför ett tillägg utan behörigheter är poängen

Chromes tilläggsmodell bygger på deklarerade behörigheter: ett tillägg som inte begär något ska i princip inte komma åt något. ClaudeBleed vände på det genom att göra assistenten till den som innehar behörigheterna och sedan låta en anropare utan behörigheter låna dem. Gispans formulering, som citeras av CyberScoop, är att bristen "{{1}}i praktiken bryter Chromes tilläggssäkerhet{{/1}}" genom att skapa en primitiv för privilegieeskalering mellan tillägg.

För försvarare är den praktiska återstoden den som Sharma namngav: övervakning av promptströmmen hjälper inte när angriparen har ändrat vad agenten uppfattar som sitt eget gränssnitt. De synliga åtgärderna är användarens egna klick och bekräftelser, uppspelade eller fabricerade. LayerX föreslagna inriktning, enligt CPO Magazine, var autentiseringstoken mellan tillägg och sida för att binda anropare, plus riktiga användargodkännanden. Det är en fix i infrastrukturen, inte en fix av modellbeteendet.

Vid tidpunkten för den rapportering som granskas här har ingen offentlig varning från Anthropic om ClaudeBleed dykt upp. Det som finns dokumenterat är ett forskningsfynd med ett demonstrerat konceptbevis, en delvis åtgärd som forskare säger kringgicks inom några timmar, och en kvarvarande lucka som ett andra företag rapporterade fortfarande var öppen i juli.