ClaudeBleed: tiện ích mở rộng không có quyền nào chiếm đoạt Claude for Chrome

Vào ngày 8 tháng 5 năm 2026, CyberScoop, SecurityWeek và CSO Online đều đưa tin về cùng một phát hiện từ công ty bảo mật trình duyệt LayerX: tiện ích Claude in Chrome của Anthropic sẽ chấp nhận hướng dẫn từ bất kỳ tiện ích Chrome nào khác được cài đặt trong cùng trình duyệt, kể cả một tiện ích không yêu cầu quyền nào cả. LayerX đặt tên cho lỗ hổng là ClaudeBleed và đã trình diễn việc nó điều khiển tác nhân lấy tệp từ Google Drive và chia sẻ chúng với một bên bên ngoài, đọc và gửi Gmail, và sao chép mã ra khỏi một kho lưu trữ GitHub riêng tư. Mức độ phơi nhiễm ảnh hưởng đến bất kỳ ai chạy tiện ích này với quyền điều khiển trình duyệt được cấp và Google hoặc GitHub được kết nối; chưa ghi nhận trường hợp khai thác thực tế nào. Cơ sở lưu trữ ghi ngày của bản ghi này là 12 tháng 5 năm 2026, ngày CSIRT ngành y tế Colombia phát hành cảnh báo 099 về cùng lỗ hổng đó. Toàn bộ bản ghi, bao gồm cả mức độ nghiêm trọng, độ tin cậy và mức độ tổn hại do chính cơ sở lưu trữ đưa ra, nằm trong Orca AI Incident Archive, cùng với các mục về tác nhân trình duyệt và chiếm đoạt tiện ích nằm cạnh nó.

Ranh giới tin cậy mà LayerX nói là đã bị thiếu

Tiện ích mở rộng của Anthropic chạy trên claude.ai và, một khi người dùng cấp cho nó quyền điều khiển trình duyệt, nó có thể hành động bên trong các tab khác. Phát hiện của LayerX không phải là mô hình có thể bị dụ làm sai, mà là cơ chế kết nối của tiện ích mở rộng đã cho phép một bên gọi mà nó chưa từng kiểm chứng tiếp cận mô hình. “Lỗ hổng bắt nguồn từ một chỉ thị trong mã của tiện ích mở rộng cho phép bất kỳ script nào chạy trong trình duyệt gốc giao tiếp với LLM của Claude, nhưng không xác minh ai đang chạy script,” nhà nghiên cứu LayerX Aviad Gispan viết, trong bài viết mà CyberScoop trích dẫn. “Do đó, bất kỳ tiện ích mở rộng nào cũng có thể gọi một content script (không yêu cầu bất kỳ quyền đặc biệt nào) và gửi lệnh đến tiện ích mở rộng Claude.”

Bài viết của SecurityWeek diễn đạt cùng luận điểm đó bằng chính cách nói của Chrome: tiện ích đã tin vào origin thực thi — claude.ai — thay vì ngữ cảnh thực thi. Tiện ích của kẻ tấn công chỉ cần khai báo một content script được cấu hình để chạy trong main world của trang, sao cho script đó thực thi như một phần của claude.ai, rồi gửi thông điệp của nó. Tiện ích Claude thấy người gửi trên origin đáng tin cậy và tuân theo. Gispan mô tả kết quả là “một primitive leo thang đặc quyền xuyên tiện ích, thứ mà mô hình bảo mật của Chrome được thiết kế rõ ràng để ngăn chặn.”

Bản thử nghiệm khái niệm thực sự đã làm được gì

CyberScoop đưa tin rằng Gispan có thể thực thi bất kỳ lời nhắc nào anh ta chọn, vượt qua các rào chắn an toàn của Claude, né bước xác nhận của người dùng và hành động trên nhiều công cụ Google. Các cuộc trình diễn rất cụ thể: trích xuất tệp từ các thư mục Google Drive và chia sẻ chúng với các bên trái phép, theo dõi hoạt động email gần đây và gửi thư thay mặt người dùng, và lấy mã nguồn riêng tư từ một kho GitHub được kết nối.

Các cách vượt qua là phần đáng để chú tâm. SecurityWeek đưa tin rằng LayerX đã giả mạo phê duyệt của người dùng bằng cách liên tục gửi lại một thông báo xác nhận — vòng lặp phê duyệt — và sử dụng thao túng DOM để thay đổi những gì Claude có thể thấy, loại bỏ các nhãn và chỉ báo xung quanh những mục nhạy cảm như mật khẩu và phản hồi chia sẻ để các hành động trông hợp pháp từ góc nhìn của chính tác nhân. Đó là lý do Ax Sharma, trưởng bộ phận nghiên cứu tại Manifold Security, nói với CyberScoop rằng "phần tinh vi nhất của cuộc tấn công này không phải là việc chèn, mà là môi trường mà tác nhân nhận thức được đã bị thao túng để tạo ra những hành động trông hợp pháp từ bên trong."

Được báo cáo vào ngày 27 tháng 4, bị coi là trùng lặp, đã được sửa một phần vào ngày 6 tháng 5

LayerX đã báo cáo lỗ hổng này cho Anthropic vào ngày 27 tháng 4 năm 2026, theo CyberScoop. Anthropic trả lời một ngày sau đó, nói rằng lỗi này là bản trùng của một lỗ hổng khác đang được khắc phục trong một bản cập nhật sắp tới. Bản cập nhật đó, phiên bản 1.0.70, đã ra mắt vào ngày 6 tháng 5 và giới thiệu các quy trình phê duyệt mới cho những hành động đặc quyền.

Quan điểm của LayerX, theo SecurityWeek đưa tin, là bản sửa lỗi chỉ xử lý triệu chứng. Anthropic đã thêm các kiểm tra nội bộ để ngăn các tiện ích chạy ở chế độ "standard" thực thi lệnh từ xa nhưng vẫn để nguyên trình xử lý thông điệp nền tảng. Chuyển tiện ích sang chế độ "privileged" — mà theo Gispan, diễn ra mà người dùng không được thông báo hay yêu cầu phê duyệt — và cuộc tấn công chiếm quyền lại hoạt động. CyberScoop đưa tin rằng Gispan vẫn có thể chiếm quyền điều khiển agent trong một số tình huống sau bản vá. Nhóm ứng cứu sự cố máy tính ngành y tế Colombia, CSIRT Salud, đã tóm tắt cùng tuyên bố đó trong cảnh báo 099: các nhà nghiên cứu cho biết họ đã vượt qua các biện pháp giảm thiểu ban đầu trong khoảng ba giờ.

Điều gì đã được xác lập, và điều gì chỉ là tuyên bố

Cơ quan lưu trữ phân loại hồ sơ này là nghiên cứu, mức độ trung bình, độ tin cậy B, không bị tranh cãi, không ghi nhận thiệt hại thực sự và có xác nhận sự tham gia của AI. Những mức phân loại đó nên được đọc theo nghĩa đen. Mọi tường thuật về lỗ hổng ban đầu đều bắt nguồn từ một nguồn duy nhất, bài viết của chính LayerX. CyberScoop, SecurityWeek, CSO Online và CPO Magazine đều nhắc lại nội dung đó, và không báo cáo nào trong số bốn báo cáo tái hiện độc lập. Sự xác nhận chéo ở đây có nghĩa là việc công bố là có thật và được mô tả nhất quán giữa các hãng tin; điều đó không có nghĩa là một phòng thí nghiệm thứ hai đã xác nhận cơ chế này vào tháng Năm.

Cũng không có CVE nào. Không có mã định danh nào xuất hiện trong bất kỳ bài đưa tin nào được xem xét ở đây hoặc trong khuyến cáo của CSIRT Salud; thay vào đó, lỗ hổng được theo dõi theo phiên bản tiện ích mở rộng. Anthropic hay LayerX đều chưa công bố con số về số người dùng đã cài đặt tiện ích mở rộng hoặc số người đã kết nối Google hoặc GitHub. Anthropic không phản hồi yêu cầu bình luận của CyberScoop, và bài báo không có tuyên bố nào từ nhà cung cấp nhằm bác bỏ lời kể của LayerX.

Hai điều về hồ sơ này đáng được nêu ra thay vì làm mờ đi. Các mức độ nghiêm trọng không khớp nhau: kho lưu trữ gọi đó là trung bình, bài viết của LayerX gọi lỗ hổng là nghiêm trọng, còn CSIRT Salud xếp cảnh báo của mình là “Alto” — cao. Đó là ba đánh giá của ba bên, và bài viết này không quy đổi đánh giá này sang đánh giá khác. Và tài liệu gốc không còn trực tuyến: bài đăng blog của LayerX hiện trả về 404 trên một trang web mang biểu ngữ về việc Akamai mua lại, vì vậy bản phân tích kỹ thuật ở đây chỉ còn tồn tại qua các trích dẫn mà CyberScoop, SecurityWeek và CPO Magazine đã đăng tải.

Chuyện gì đã xảy ra sau đó: vẫn chưa hoàn thành vào tháng Bảy

Ax Sharma của Manifold Security, người đã bình luận về công bố ban đầu, vẫn tiếp tục tìm hiểu. Trong một bài viết được công bố ngày 14 tháng 7 năm 2026, Manifold cho biết họ đã báo cáo thêm hai vấn đề nữa cho Anthropic vào ngày 21 tháng 5 năm 2026 liên quan đến phiên bản tiện ích mở rộng 1.0.72, và rằng cả hai vẫn tái hiện được ở phiên bản 1.0.80, phát hành ngày 7 tháng 7.

Đầu tiên là một cách vượt qua bằng cú nhấp tổng hợp. Biện pháp giảm thiểu của Anthropic đã thay văn bản lời nhắc tùy ý bằng chín định danh tác vụ được mã hóa cứng — trong đó có usecase-gmail, usecase-gdocs, usecase-calendar và usecase-salesforce — mà một trang có thể kích hoạt nhưng không thể viết lại. Manifold phát hiện rằng trình xử lý nhấp chuột kích hoạt chúng không bao giờ kiểm tra event.isTrusted, nên bất kỳ content script nào trên claude.ai cũng có thể tạo nút, đặt định danh tác vụ và gửi một cú nhấp giả. Ở chế độ mặc định "Ask before acting", người dùng vẫn thấy lời nhắc phê duyệt; khi bật "Act without asking", thao tác đọc diễn ra âm thầm. Manifold đánh giá đường tấn công đó là CVSS 7.7 ở chế độ mặc định và 9.6 ở chế độ âm thầm, đồng thời nhấn mạnh rằng lỗi nằm ở tiện ích mở rộng chứ không phải ở mô hình, và tái hiện được trên các lựa chọn mô hình Opus, Sonnet và Fable ở bảng điều khiển bên.

Báo cáo thứ hai mang tính kiến trúc. Bảng điều khiển bên đọc tham số skipPermissions=true từ URL của chính nó và khởi động vào chế độ bỏ qua mọi kiểm tra quyền mà không cần thao tác người dùng và không có bước đồng ý. Manifold cho biết đường dẫn đó không thể bị khai thác từ xa trong 1.0.80 nếu xét riêng nó, nhưng nó biến bất kỳ lỗi cấu trúc URL nào trong tương lai thành việc thực thi đặc quyền âm thầm. Anthropic đã đóng báo cáo đầu tiên với lý do đã được bao phủ bởi vấn đề ranh giới tin cậy nội bộ — mà công ty cho biết "vẫn mở, chờ bản sửa hoàn chỉnh" — và đóng báo cáo thứ hai với lý do chỉ mang tính thông tin.

Những điểm CVSS đó thuộc về các phát hiện của Manifold, không phải ClaudeBleed gốc của LayerX, và không nên được diễn giải ngược lại để gán cho nó. Điều chúng thực sự chứng minh là một phòng thí nghiệm độc lập, sau nhiều tuần, vẫn có thể điều khiển Claude từ script của một tiện ích mở rộng khác. Đó là bằng chứng củng cố mạnh nhất hiện có cho nhóm lỗ hổng mà LayerX đã mô tả, dù đây không phải là bản tái tạo bằng chứng khái niệm của chính LayerX.

Vì sao tiện ích mở rộng không có quyền truy cập nào mới là điểm mấu chốt

Mô hình tiện ích mở rộng của Chrome được xây dựng dựa trên các quyền được khai báo: một tiện ích mở rộng không yêu cầu quyền gì thì được cho là gần như không thể truy cập gì. ClaudeBleed đã đảo ngược điều đó bằng cách biến trợ lý thành thứ nắm giữ các quyền rồi cho phép một bên gọi không có quyền mượn chúng. Cách diễn đạt của Gispan, như được CyberScoop trích dẫn, là lỗ hổng này “về cơ bản phá vỡ bảo mật tiện ích mở rộng của Chrome” bằng cách tạo ra một cơ chế leo thang đặc quyền giữa các tiện ích mở rộng.

Đối với các nhà phòng thủ, phần dư âm thực tế chính là điều Sharma đã gọi tên: việc giám sát luồng prompt không giúp ích gì khi kẻ tấn công đã thay đổi thứ mà agent nhận thức là giao diện của chính nó. Các hành động hiển thị là các cú nhấp và xác nhận của chính người dùng, bị phát lại hoặc ngụy tạo. Hướng được LayerX đề xuất, theo CPO Magazine, là token xác thực từ tiện ích mở rộng đến trang để ràng buộc bên gọi, cùng với phê duyệt thực sự của người dùng. Đó là một bản sửa phần đường ống, không phải bản sửa hành vi mô hình.

Tính đến thời điểm các báo cáo được xem xét ở đây, chưa có khuyến cáo công khai nào của Anthropic về ClaudeBleed xuất hiện. Hồ sơ hiện được ghi nhận là một phát hiện nghiên cứu với một bản chứng minh khái niệm đã được trình diễn, một bản vá một phần mà các nhà nghiên cứu cho biết đã bị vượt qua chỉ trong vài giờ, và một lỗ hổng còn tồn tại mà một công ty thứ hai báo cáo vẫn còn mở vào tháng 7.