ClaudeBleed: ส่วนขยายที่ไม่ต้องขอสิทธิ์เลยแม้แต่รายการเดียว บุกยึด Claude for Chrome

เมื่อวันที่ 8 พฤษภาคม 2026 CyberScoop, SecurityWeek และ CSO Online ต่างรายงานผลการค้นพบเดียวกันจากบริษัทความปลอดภัยด้านเบราว์เซอร์ LayerX ว่าส่วนขยาย Claude in Chrome ของ Anthropic จะยอมรับคำสั่งจากส่วนขยาย Chrome อื่นใดก็ตามที่ติดตั้งอยู่ในเบราว์เซอร์เดียวกัน รวมถึงส่วนขยายที่ไม่ขอสิทธิ์ใด ๆ เลยด้วย LayerX ตั้งชื่อช่องโหว่นี้ว่า ClaudeBleed และสาธิตการทำให้เอเจนต์ดึงไฟล์จาก Google Drive และแชร์ให้บุคคลภายนอก อ่านและส่ง Gmail และคัดลอกโค้ดออกจากรีพอซิทอรี GitHub แบบส่วนตัว ความเสี่ยงนี้กระทบใครก็ตามที่ใช้งานส่วนขยายโดยเปิดสิทธิ์ควบคุมเบราว์เซอร์และเชื่อมต่อ Google หรือ GitHub ไว้ โดยยังไม่มีการบันทึกการนำช่องโหว่ไปใช้ในโลกจริง คลังข้อมูลระบุวันที่ของบันทึกนี้เป็น 12 พฤษภาคม 2026 ซึ่งเป็นวันที่ CSIRT ภาคสุขภาพของโคลอมเบียออกประกาศเตือน 099 เกี่ยวกับช่องโหว่เดียวกัน บันทึกฉบับเต็ม ซึ่งรวมถึงระดับความรุนแรง ระดับความเชื่อมั่น และระดับความเสียหายตามการจัดของคลังข้อมูล อยู่ที่ Orca AI Incident Archive พร้อมกับรายการเกี่ยวกับบราเซอร์เอเจนต์และการ hijack ส่วนขยายที่อยู่ข้างเคียง

ขอบเขตความไว้วางใจที่ LayerX บอกว่าขาดหายไป

ส่วนขยายของ Anthropic ทำงานบน claude.ai และเมื่อผู้ใช้อนุญาตให้ควบคุมเบราว์เซอร์แล้ว ก็สามารถดำเนินการภายในแท็บอื่นๆ ได้ สิ่งที่ LayerX ค้นพบไม่ใช่การที่โมเดลถูกโน้มน้าวให้ประพฤติผิด แต่เป็นโครงสร้างการเชื่อมต่อของส่วนขยายที่ยอมให้ผู้เรียกที่ไม่เคยผ่านการตรวจสอบเข้าถึงโมเดลได้เลย "ช่องโหว่นี้เกิดจากคำสั่งในโค้ดของส่วนขยายที่อนุญาตให้สคริปต์ใดก็ตามที่ทำงานในเบราว์เซอร์ต้นทางสื่อสารกับ LLM ของ Claude ได้ แต่ไม่ได้ตรวจสอบว่าใครเป็นผู้รันสคริปต์นั้น" Aviad Gispan นักวิจัยของ LayerX เขียนไว้ ในรายงานที่ CyberScoop อ้างถึง "ด้วยเหตุนี้ ส่วนขยายใดๆ จึงสามารถเรียกใช้คอนเทนต์สคริปต์ (ซึ่งไม่จำเป็นต้องมีสิทธิ์พิเศษใดๆ) และส่งคำสั่งไปยังส่วนขยาย Claude ได้"

รายงานของ SecurityWeek ระบุประเด็นเดียวกันในถ้อยคำของ Chrome เองว่า ส่วนขยายเชื่อถือ origin ของการรัน — claude.ai — แทนที่จะเป็นบริบทการรัน ส่วนขยายของผู้โจมตีเพียงต้องประกาศ content script ที่กำหนดค่าให้รันใน main world ของหน้า เพื่อให้สคริปต์ทำงานเป็นส่วนหนึ่งของ claude.ai แล้วจึงส่งข้อความของตน ส่วนขยาย Claude เห็นผู้ส่งที่อยู่บน origin ที่เชื่อถือได้และปฏิบัติตาม Gispan อธิบายผลลัพธ์ว่าเป็น “primitive สำหรับการยกระดับสิทธิ์ข้ามส่วนขยาย ซึ่งเป็นสิ่งที่แบบจำลองความปลอดภัยของ Chrome ถูกออกแบบมาเพื่อป้องกันไว้อย่างชัดเจน”

สิ่งที่ Proof of Concept ทำจริง ๆ

CyberScoop รายงานว่า Gispan สามารถเรียกใช้พรอมป์ใดก็ได้ที่เขาเลือก ฝ่าข้อจำกัดด้านความปลอดภัยของ Claude หลบเลี่ยงขั้นตอนการยืนยันของผู้ใช้ และดำเนินการข้ามเครื่องมือ Google หลายตัว การสาธิตเหล่านั้นเป็นรูปธรรม: การดึงไฟล์จากโฟลเดอร์ Google Drive และแชร์ให้บุคคลที่ไม่ได้รับอนุญาต การเฝ้าติดตามกิจกรรมอีเมลล่าสุดและส่งอีเมลในนามของผู้ใช้ และการนำซอร์สโค้ดส่วนตัวจากรีโพซิทอรี GitHub ที่เชื่อมต่ออยู่ไป

การหลบเลี่ยงเหล่านี้เป็นส่วนที่ควรค่าแก่การพิจารณา SecurityWeek รายงานว่า LayerX ปลอมแปลงการอนุมัติของผู้ใช้ด้วยการส่งข้อความยืนยันซ้ำแล้วซ้ำอีก — การวนซ้ำการอนุมัติ — และใช้การจัดการ DOM เพื่อเปลี่ยนสิ่งที่ Claude มองเห็น โดยลบป้ายกำกับและตัวบ่งชี้ออกไปรอบรายการที่ละเอียดอ่อน เช่น รหัสผ่านและข้อความตอบกลับเกี่ยวกับการแชร์ เพื่อให้การกระทำดูถูกต้องจากภายในมุมมองของเอเจนต์เอง นั่นคือเหตุผลที่ Ax Sharma หัวหน้าฝ่ายวิจัยของ Manifold Security บอกกับ CyberScoop ว่า “ส่วนที่ซับซ้อนที่สุดของการโจมตีนี้ไม่ใช่การฉีดคำสั่ง แต่คือสภาพแวดล้อมที่เอเจนต์รับรู้ถูกบิดเบือนเพื่อให้เกิดการกระทำที่ดูถูกต้องจากภายใน”

รายงานเมื่อวันที่ 27 เมษายน ถูกระบุว่าเป็นรายการซ้ำ และแก้ไขได้บางส่วนเมื่อวันที่ 6 พฤษภาคม

ตามรายงานของ CyberScoop LayerX ได้รายงานช่องโหว่นี้ให้ Anthropic ทราบเมื่อวันที่ 27 เมษายน 2026 Anthropic ตอบกลับในอีกหนึ่งวันต่อมาโดยระบุว่าบั๊กดังกล่าวเป็นรายการซ้ำของช่องโหว่อีกชิ้นหนึ่งที่กำลังได้รับการแก้ไขในอัปเดตในอนาคตอยู่แล้ว อัปเดตดังกล่าวคือเวอร์ชัน 1.0.70 ซึ่งเปิดตัวเมื่อวันที่ 6 พฤษภาคม และได้แนะนำขั้นตอนการอนุมัติใหม่สำหรับการดำเนินการที่มีสิทธิ์พิเศษ

จุดยืนของ LayerX ตามที่ SecurityWeek รายงาน คือการแก้ไขนั้นรักษาเพียงอาการ Anthropic ได้เพิ่มการตรวจสอบภายในเพื่อหยุดส่วนขยายที่ทำงานในโหมด "standard" ไม่ให้เรียกใช้คำสั่งระยะไกล แต่ยังคงตัวจัดการข้อความพื้นฐานไว้ในที่เดิม เมื่อสลับส่วนขยายไปเป็นโหมด "privileged" — ซึ่ง Gispan กล่าวว่าเกิดขึ้นโดยผู้ใช้ไม่ได้รับการแจ้งเตือนหรือถูกขอให้อนุมัติ — การยึดควบคุมก็กลับมาทำงานได้อีกครั้ง CyberScoop รายงานว่า Gispan ยังสามารถยึดควบคุมเอเจนต์ได้ในบางสถานการณ์หลังการแพตช์ CSIRT Salud ซึ่งเป็นทีมตอบสนองเหตุฉุกเฉินทางคอมพิวเตอร์ภาคสุขภาพของโคลอมเบีย สรุปข้อกล่าวอ้างเดียวกันในประกาศเตือน 099 ว่า นักวิจัยกล่าวว่าพวกเขาหลบเลี่ยงมาตรการบรรเทาเบื้องต้นได้ภายในเวลาประมาณสามชั่วโมง

สิ่งใดได้รับการยืนยันแล้ว และสิ่งใดเป็นเพียงข้อกล่าวอ้าง

คลังข้อมูลให้เกรดบันทึกนี้เป็นงานวิจัย ระดับความรุนแรงปานกลาง ความเชื่อมั่นระดับ B ไม่มีข้อโต้แย้ง โดยไม่มีการบันทึกความเสียหายที่แท้จริง และยืนยันว่ามีส่วนเกี่ยวข้องของ AI เกรดเหล่านี้ควรอ่านตามตัวอักษร ทุกบทบรรยายเกี่ยวกับข้อบกพร่องดั้งเดิมสามารถสาวกลับไปยังแหล่งเดียว คือบทความของ LayerX เอง CyberScoop, SecurityWeek, CSO Online และ CPO Magazine ต่างก็กล่าวซ้ำ และไม่มีรายงานใดในสี่ฉบับรายงานการทำซ้ำโดยอิสระ การยืนยันในที่นี้หมายความว่าการเปิดเผยนั้นเป็นเรื่องจริงและได้รับการอธิบายอย่างสอดคล้องกันในสื่อต่างๆ; ไม่ได้หมายความว่าห้องปฏิบัติการแห่งที่สองยืนยันกลไกดังกล่าวในเดือนพฤษภาคม

และก็ไม่มี CVE เช่นกัน ไม่มีตัวระบุใดปรากฏในเนื้อหาข่าวที่ตรวจสอบในที่นี้หรือในคำแนะนำของ CSIRT Salud แทนที่จะเป็นเช่นนั้น ช่องโหว่นี้ถูกติดตามด้วยเวอร์ชันของส่วนขยาย ไม่มีการเผยแพร่ตัวเลขว่ามีผู้ใช้ติดตั้งส่วนขยายนี้กี่ราย หรือมีกี่รายที่เชื่อมต่อ Google หรือ GitHub โดย Anthropic หรือ LayerX Anthropic ไม่ได้ตอบกลับคำขอความคิดเห็นของ CyberScoop และรายงานข่าวไม่มีแถลงการณ์จากผู้จำหน่ายใดที่โต้แย้งคำชี้แจงของ LayerX

มีสองประเด็นในบันทึกนี้ที่ควรชี้ให้เห็นมากกว่าจะกลบเกลื่อน ประการแรก ระดับความรุนแรงไม่ตรงกัน: คลังข้อมูลเรียกมันว่าระดับกลาง บทความวิเคราะห์ของ LayerX เรียกช่องโหว่นี้ว่าระดับวิกฤต และ CSIRT Salud ให้ระดับการแจ้งเตือนว่า "Alto" — สูง ทั้งสามคือการตัดสินของสามฝ่าย และบทความนี้ไม่ได้แปลงค่าหนึ่งไปเป็นอีกค่าหนึ่ง ประการที่สอง เอกสารต้นฉบับไม่ออนไลน์แล้ว: โพสต์บล็อกของ LayerX ตอนนี้ตอบกลับ 404 บนเว็บไซต์ที่มีแบนเนอร์การเข้าซื้อกิจการโดย Akamai ดังนั้นบทวิเคราะห์ทางเทคนิคจึงหลงเหลืออยู่ที่นี่เพียงในข้อความอ้างอิงที่ CyberScoop, SecurityWeek และ CPO Magazine นำมาเผยแพร่

เกิดอะไรขึ้นหลังจากนั้น: ยังไม่เสร็จสมบูรณ์ในเดือนกรกฎาคม

Ax Sharma จาก Manifold Security ซึ่งได้แสดงความคิดเห็นเกี่ยวกับการเปิดเผยข้อมูลครั้งเดิม ยังคงค้นหาต่อไป ในบทความที่เผยแพร่เมื่อวันที่ 14 กรกฎาคม 2026 Manifold ระบุว่าได้รายงานปัญหาอีกสองรายการให้ Anthropic ทราบเมื่อวันที่ 21 พฤษภาคม 2026 โดยเกี่ยวข้องกับส่วนขยายเวอร์ชัน 1.0.72 และปัญหาทั้งสองยังคงเกิดขึ้นซ้ำได้ในเวอร์ชัน 1.0.80 ซึ่งเผยแพร่เมื่อวันที่ 7 กรกฎาคม

ช่องโหว่แรกเป็นการบายพาสด้วยการคลิกสังเคราะห์ มาตรการบรรเทาของ Anthropic ได้แทนที่ข้อความพรอมต์ใด ๆ ด้วยตัวระบุงานแบบฮาร์ดโค้ดเก้าตัว — รวมถึง usecase-gmail, usecase-gdocs, usecase-calendar และ usecase-salesforce — ซึ่งหน้าเว็บสามารถทริกเกอร์ได้แต่เขียนใหม่ไม่ได้ Manifold พบว่าตัวจัดการการคลิกที่เรียกใช้งานตัวระบุเหล่านั้นไม่เคยตรวจสอบ event.isTrusted ดังนั้นสคริปต์เนื้อหาใด ๆ บน claude.ai จึงสามารถสร้างปุ่ม ตั้งค่าตัวระบุงาน และส่งการคลิกปลอมได้ ในโหมดเริ่มต้น "Ask before acting" ผู้ใช้ยังคงเห็นพรอมต์ขออนุมัติ; เมื่อเปิดใช้งาน "Act without asking" การอ่านจะเกิดขึ้นอย่างเงียบ ๆ Manifold ให้คะแนนเส้นทางนั้นที่ CVSS 7.7 ในโหมดเริ่มต้น และ 9.6 ในโหมดเงียบ และเน้นว่าบั๊กอยู่ในส่วนขยายมากกว่าในโมเดล โดยสามารถจำลองซ้ำได้ในการเลือกโมเดลในแผงด้านข้างของ Opus, Sonnet และ Fable

ฉบับที่สองเป็นประเด็นเชิงสถาปัตยกรรม แผงด้านข้างอ่านพารามิเตอร์ skipPermissions=true จาก URL ของตัวเอง แล้วบูตเข้าสู่โหมดข้ามการตรวจสอบสิทธิ์ทั้งหมด โดยไม่มีการกระทำใดของผู้ใช้และไม่มีขั้นตอนขอความยินยอม Manifold กล่าวว่าเส้นทางดังกล่าวไม่สามารถถูกโจมตีจากระยะไกลได้โดยลำพังในเวอร์ชัน 1.0.80 แต่เส้นทางนั้นเปลี่ยนบั๊กการสร้าง URL ในอนาคตใด ๆ ให้กลายเป็นการเรียกใช้โค้ดที่มีสิทธิ์โดยไม่มีการแจ้งเตือน Anthropic ปิดรายงานฉบับแรกโดยระบุว่าถูกครอบคลุมอยู่แล้วโดยประเด็นขอบเขตความเชื่อถือภายใน ซึ่งบริษัทกล่าวว่า "ยังคงเปิดอยู่จนกว่าจะมีการแก้ไขที่สมบูรณ์" และปิดรายงานฉบับที่สองโดยจัดเป็นข้อมูลประกอบ

คะแนน CVSS เหล่านั้นเป็นของสิ่งที่ Manifold ค้นพบ ไม่ใช่ของ ClaudeBleed ดั้งเดิมของ LayerX และไม่ควรนำไปตีความย้อนกลับไปยังสิ่งนั้น สิ่งที่คะแนนเหล่านี้ยืนยันได้คือ ห้องแล็บอิสระแห่งหนึ่ง หลายสัปดาห์ต่อมา ยังคงสามารถสั่งการ Claude ได้ผ่านสคริปต์ของส่วนขยายอีกตัวหนึ่ง นั่นคือหลักฐานยืนยันที่แข็งแรงที่สุดเท่าที่มีสำหรับช่องโหว่ประเภทที่ LayerX อธิบายไว้ แม้ว่ามันจะไม่ใช่การจำลอง proof of concept ของ LayerX เองก็ตาม

ทำไมส่วนขยายแบบไม่ขอสิทธิ์ใด ๆ จึงเป็นจุดสำคัญ

โมเดลส่วนขยายของ Chrome สร้างขึ้นบนสิทธิ์ที่ประกาศไว้ โดยส่วนขยายที่ไม่ขอสิทธิ์ใด ๆ ควรเข้าถึงแทบจะไม่มีอะไรเลย ClaudeBleed กลับด้านแนวทางนั้นด้วยการทำให้ผู้ช่วยเป็นสิ่งที่ถือสิทธิ์เหล่านั้น แล้วปล่อยให้ผู้เรียกที่ไม่มีสิทธิ์ยืมสิทธิ์เหล่านั้นไปใช้ คำอธิบายของ Gispan ซึ่ง CyberScoop อ้างถึง ระบุว่าช่องโหว่นี้ "ทำลายความปลอดภัยของส่วนขยาย Chrome ได้จริง" ด้วยการสร้างกลไกพื้นฐานสำหรับการยกระดับสิทธิ์ข้ามส่วนขยาย

สำหรับฝ่ายป้องกัน สิ่งที่เหลืออยู่ในทางปฏิบัติคือสิ่งที่ Sharma ระบุไว้: การเฝ้าตรวจสอบสตรีมพรอมต์ไม่ช่วยเมื่อผู้โจมตีได้เปลี่ยนสิ่งที่เอเจนต์รับรู้ว่าเป็นอินเทอร์เฟซของตัวเอง การกระทำที่มองเห็นได้คือการคลิกและการยืนยันของผู้ใช้เอง ซึ่งถูกเล่นซ้ำหรือถูกสร้างขึ้นมา ทิศทางที่ LayerX เสนอ ตามข้อมูลของ CPO Magazine คือโทเค็นการพิสูจน์ตัวตนจากส่วนขยายไปยังหน้าเว็บเพื่อผูกผู้เรียกใช้ พร้อมกับการอนุมัติจากผู้ใช้จริง นั่นเป็นการซ่อมระบบโครงสร้างพื้นฐาน ไม่ใช่การแก้พฤติกรรมของโมเดล

ณ เวลาของรายงานที่ตรวจสอบในที่นี้ ยังไม่มีการประกาศคำเตือนต่อสาธารณะจาก Anthropic เกี่ยวกับ ClaudeBleed บันทึกยังคงสถานะเป็นข้อค้นพบจากการวิจัย ซึ่งมีการสาธิตการพิสูจน์แนวคิด การแก้ไขเพียงบางส่วนที่นักวิจัยกล่าวว่าถูกหลบเลี่ยงได้ภายในไม่กี่ชั่วโมง และช่องโหว่ที่ยังเหลืออยู่ซึ่งบริษัทอีกรายรายงานว่ายังเปิดอยู่ในเดือนกรกฎาคม