ClaudeBleed：一款零权限扩展程序劫持了 Claude for Chrome

2026年5月8日，CyberScoop、SecurityWeek 和 CSO Online 各自报道了浏览器安全公司 LayerX 的同一项发现：Anthropic 的 Claude in Chrome 扩展程序会接受同一浏览器中安装的任何其他 Chrome 扩展程序的指令，包括完全不请求任何权限的扩展程序。LayerX 将该漏洞命名为 ClaudeBleed，并演示了它如何驱使该智能体从 Google Drive 拉取文件并与外部方共享、读取和发送 Gmail，以及从私有 GitHub 仓库复制代码。该暴露面影响所有在授予浏览器控制权限并连接 Google 或 GitHub 的情况下运行该扩展程序的人；目前尚未记录到真实世界中的利用。该档案将此记录的日期定为 2026年5月12日，即哥伦比亚卫生行业 CSIRT 就同一漏洞发布第 099 号警报的当天。完整记录，包括该档案自身的严重性、置信度和危害等级，收录于 Orca AI Incident Archive，与相邻的浏览器智能体和扩展劫持条目并列。

LayerX 所说的缺失的信任边界

Anthropic 的扩展运行在 claude.ai 上，并且一旦用户授予其浏览器控制权限，它就能在其他标签页内进行操作。LayerX 的发现并不是该模型可能被诱导做出不当行为，而是该扩展的底层机制让一个它从未审查过的调用方能够接触到该模型。LayerX 研究员 Aviad Gispan 在 CyberScoop 引用的报告中写道：“该漏洞源于扩展代码中的一条指令，它允许在源浏览器中运行的任何脚本与 Claude 的 LLM 通信，却不验证是谁在运行该脚本。”“因此，任何扩展都可以调用内容脚本（这不需要任何特殊权限），并向 Claude 扩展发出命令。”

SecurityWeek的报道用Chrome自身的术语表达了同样的观点：该扩展信任的是执行来源——claude.ai——而非执行上下文。攻击者的扩展只需声明一个配置为在页面主世界中运行的内容脚本，使该脚本作为claude.ai的一部分执行，然后发送其消息即可。Claude扩展看到一个来自受信任来源的发送者，便会照办。Gispan将这一结果描述为“一种跨扩展的权限提升原语，而这正是Chrome安全模型明确设计要防止的情况。”

概念验证实际上做了什么

CyberScoop 报道称，Gispan 可以执行他任意选定的提示词，突破 Claude 的安全护栏，绕过用户确认环节，并在多个 Google 工具上执行操作。这些演示十分具体：从 Google Drive 文件夹中提取文件并与未经授权方共享，监视近期的电子邮件活动并以用户名义发送邮件，以及从已连接的 GitHub 仓库中获取私有源代码。

绕过手段才是值得细究的部分。SecurityWeek 报道称，LayerX 通过反复重发一条确认消息——即审批循环——伪造了用户批准，并利用 DOM 操纵改变了 Claude 所能看到的内容，移除了密码和分享反馈等敏感项目周围的标签和指示符，使得从智能体自身视角来看这些操作显得合法。正因如此，Manifold Security 研究主管 Ax Sharma 对 CyberScoop 表示：“这次攻击中最复杂的地方不是注入，而是智能体所感知的环境被操纵，从而产生了从内部看来合法的操作。”

4月27日报告，被认定为重复项，5月6日部分修复

据CyberScoop报道，LayerX于2026年4月27日向Anthropic报告了这一漏洞。Anthropic在一天后回复称，该漏洞与另一个已在未来更新中着手修复的漏洞重复。该更新（版本1.0.70）于5月6日发布，为特权操作引入了新的审批流程。

据SecurityWeek报道，LayerX的立场是，该修复只处理了症状。Anthropic增加了内部检查，以阻止扩展在“标准”模式下执行远程命令，但保留了底层的消息处理器。将扩展切换到“特权”模式——Gispan称，这会在用户未获通知或未被要求批准的情况下发生——劫持就又奏效了。CyberScoop报道称，在补丁之后，Gispan仍能在某些场景下接管该智能体。哥伦比亚卫生部门计算机应急响应团队CSIRT Salud在099号警报中总结了同样的说法：研究人员表示，他们在大约三小时内绕过了最初的缓解措施。

哪些是已确立的，哪些只是声称的

档案将这条记录评级为研究，严重性中等，置信度为 B，无争议，未记录到实际危害，并已确认涉及 AI。这些评级值得按字面理解。关于原始漏洞的每一篇报道都可追溯到同一个来源，即 LayerX 自己的文章。CyberScoop、SecurityWeek、CSO Online 和 CPO Magazine 都复述了它，而四家媒体中没有任何一家报告了独立复现。这里的相互印证意味着该披露是真实的，且各媒体的描述一致；这并不意味着第二家实验室在 5 月确认了该机制。

也不存在 CVE。在此处审查的所有报道以及 CSIRT Salud 的公告中，均未出现任何标识符；该漏洞改为通过扩展版本进行追踪。Anthropic 或 LayerX 均未公布有多少用户安装了该扩展，或有多少用户连接了 Google 或 GitHub。Anthropic 未回应 CyberScoop 的置评请求，且相关报道未包含任何反驳 LayerX 说法的供应商声明。

关于这份记录，有两点值得明确指出，而不是含糊带过。严重程度评级并不一致：归档资料称其为中危，LayerX 的报告称该漏洞为严重，而 CSIRT Salud 将其警报评为“Alto”——高。这是三方作出的三项判断，本文不会把其中一种转换成另一种。而且原始文档已不在线：LayerX 的博客文章现在在一个带有 Akamai 收购横幅的网站上返回 404，因此这份技术报告在这里仅存于 CyberScoop、SecurityWeek 和 CPO Magazine 所刊载的引文中。

之后发生了什么：到七月仍未完成

Manifold Security 的 Ax Sharma 曾对最初的披露发表过评论，他继续深入追查。在 2026 年 7 月 14 日发布的一篇文章中，Manifold 表示，它已于 2026 年 5 月 21 日向 Anthropic 报告了针对扩展版本 1.0.72 的另外两个问题，并且这两个问题在 7 月 7 日发布的 1.0.80 版本中仍然可以复现。

第一种是合成点击绕过。Anthropic 的缓解措施已将任意提示文本替换为九个硬编码任务标识符——其中包括 usecase-gmail、usecase-gdocs、usecase-calendar 和 usecase-salesforce——页面可以触发这些标识符，但无法改写它们。Manifold 发现，触发它们的点击处理程序从不检查 event.isTrusted，因此 claude.ai 上的任何内容脚本都可以构建按钮、设置任务标识符并派发一次伪造点击。在默认的“执行前询问”模式下，用户仍会看到批准提示；启用“未经询问即执行”后，读取会在无声中发生。Manifold 将该路径在默认模式下的 CVSS 评为 7.7，在静默模式下评为 9.6，并强调该缺陷位于扩展程序而非模型中，且在 Opus、Sonnet 和 Fable 的侧边栏模型选择中均可复现。

第二个是架构层面的问题。侧边面板会从自身的 URL 读取 skipPermissions=true 参数，并在没有用户手势、也没有同意步骤的情况下，启动进入跳过所有权限检查的模式。Manifold 表示，该路径在 1.0.80 中本身无法被远程利用，但它会把未来任何 URL 构造漏洞转化为静默的特权执行。Anthropic 以“已由内部信任边界问题覆盖”为由关闭了第一份报告——该公司称该问题“在完成彻底修复前仍保持开放”——并以“仅具信息性”为由关闭了第二份报告。

这些 CVSS 分数属于 Manifold 的发现，而不属于 LayerX 最初的 ClaudeBleed，因此不应被反过来归到它身上。它们确实能证明的是，一个独立实验室在数周之后仍能借助另一个扩展的脚本驱动 Claude。对于 LayerX 所描述的那一类缺陷而言，这是目前可获得的最有力佐证，尽管这并非对 LayerX 自身概念验证的复现。

为什么零权限扩展才是关键

Chrome 的扩展模型建立在声明式权限之上：一个不申请任何权限的扩展，本应几乎触及不到任何东西。ClaudeBleed 把这一切颠倒了——它让助手成为持有权限的一方，再让一个没有任何权限的调用方借用这些权限。正如 CyberScoop 所引述的，Gispan 的表述是：该缺陷通过制造出一种可跨扩展使用的权限提升原语，"实际上击穿了 Chrome 的扩展安全"。

对防御者而言，实际留下的关键问题正是 Sharma 所指出的那一个：当攻击者已经改变了智能体对自身接口的感知时，监控提示流并不能解决问题。可见的操作是用户自己的点击和确认，而这些操作或被重放，或被伪造。据 CPO Magazine 报道，LayerX 建议的方向是采用扩展程序到页面的身份验证令牌来绑定调用方，并辅以真实用户批准。这是管道层面的修复，而非模型行为层面的修复。

截至本文所审查的报道，Anthropic 尚未发布关于 ClaudeBleed 的公开安全公告。相关记录仍只是一项研究性发现：其中包含已演示的概念验证、一项被研究人员称在数小时内即遭绕过的部分修复，以及第二家公司报告称在 7 月仍然存在的残余缺口。