ClaudeBleed：一個零權限擴充功能劫持 Claude for Chrome

2026 年 5 月 8 日，CyberScoop、SecurityWeek 與 CSO Online 各自報導了瀏覽器安全公司 LayerX 的同一項發現：Anthropic 的 Claude in Chrome 擴充功能會接受同一瀏覽器中任何其他 Chrome 擴充功能的指令，包括完全未要求任何權限的擴充功能。LayerX 將此漏洞命名為 ClaudeBleed，並演示其可驅使該代理從 Google Drive 擷取檔案並與外部人士分享、讀取並寄送 Gmail，以及從私人 GitHub 儲存庫複製程式碼。凡是在授予瀏覽器控制權且連接 Google 或 GitHub 的情況下執行該擴充功能者，皆暴露於此風險；目前尚未記錄到任何實際利用案例。該檔案將此紀錄標註為 2026 年 5 月 12 日，亦即哥倫比亞衛生部門 CSIRT 針對同一漏洞發布第 099 號警報之日。完整紀錄——包括該檔案自身的嚴重性、信心與危害等級——收錄於 Orca AI Incident Archive，與其相鄰的瀏覽器代理及擴充功能劫持條目並列。

LayerX 所說原本缺失的信任邊界

Anthropic 的擴充功能在 claude.ai 上執行，一旦使用者授予它瀏覽器控制權，它就能在其他分頁中操作。LayerX 的發現並不是模型可能被說服而做出不當行為，而是該擴充功能的底層機制竟讓一個它從未審查過的呼叫者得以接觸到模型。LayerX 研究員 Aviad Gispan 在 CyberScoop 引述的報導中寫道：「這個漏洞源自擴充功能程式碼中的一項指令，它允許在來源瀏覽器中執行的任何腳本與 Claude 的 LLM 通訊，卻未驗證是誰在執行該腳本。」「因此，任何擴充功能都能叫用內容腳本（這不需要任何特殊權限），並向 Claude 擴充功能下達命令。」

SecurityWeek 的報導以 Chrome 自身的說法表達了同一點：該擴充功能信任的是執行的來源——claude.ai——而非執行環境。攻擊者的擴充功能只需宣告一個設定為在頁面主世界（main world）中執行的內容腳本，讓該腳本作為 claude.ai 的一部分執行，然後傳送其訊息。Claude 擴充功能看到傳送者來自受信任的來源，便照辦。Gispan 將結果描述為「一種跨擴充功能的權限提升原語，而這正是 Chrome 的安全模型明確設計要防止的情況。」

概念驗證實際上做了什麼

CyberScoop 報導指出，Gispan 能夠執行他選擇的任何提示，突破 Claude 的安全防護機制，規避使用者確認步驟，並在多個 Google 工具上採取行動。這些示範具體明確：從 Google Drive 資料夾中擷取檔案並與未經授權的第三方分享、監視近期的電子郵件活動並代替使用者寄送郵件，以及從連接的 GitHub 儲存庫中取得私有原始碼。

這些繞過手法才是值得深入探討的部分。SecurityWeek 報導指出，LayerX 透過反覆重新傳送確認訊息來偽造使用者核准——也就是核准迴圈——並利用 DOM 操縱來改變 Claude 所能看到的內容，移除密碼等敏感項目及分享回饋周圍的標籤與指示，使這些動作從代理程式自身的視角看來顯得合法。這就是為什麼 Manifold Security 研究主管 Ax Sharma 告訴 CyberScoop：「這起攻擊最精妙的部分不是注入，而是代理程式感知到的環境遭到操弄，因而產生從內部看來合法的動作。」

於4月27日回報，被標記為重複問題，已於5月6日部分修復

根據 CyberScoop 報導，LayerX 於 2026 年 4 月 27 日向 Anthropic 通報該漏洞。Anthropic 隔日回覆表示，這個錯誤與另一個已在未來更新中處理的漏洞重複。該更新為 1.0.70 版，於 5 月 6 日推出，並針對特權操作導入了新的審批流程。

根據 SecurityWeek 報導，LayerX 的立場是，該修補只處理了表面症狀。Anthropic 增加了內部檢查，以阻止在「標準」模式下執行的擴充功能執行遠端命令，但保留了底層的訊息處理常式。將擴充功能切換到「特權」模式——Gispan 表示，這會在未通知使用者或未徵求使用者同意的情況下發生——劫持便再次奏效。CyberScoop 報導，在修補後，Gispan 在某些情境下仍能接管該代理程式。哥倫比亞衛生領域電腦緊急應變小組 CSIRT Salud 在第 099 號警示中概述了同一項說法：研究人員表示，他們在大約三小時內便繞過了最初的緩解措施。

哪些是已確立的，哪些僅是宣稱

檔案庫將這筆紀錄評為研究，嚴重程度中等，信心等級 B，無爭議，未記錄到任何實際危害，且已確認有 AI 參與。這些評級值得照字面理解。對原始漏洞的每一份敘述都可追溯至單一來源，即 LayerX 自己的報告。CyberScoop、SecurityWeek、CSO Online 和 CPO Magazine 全都重述了它，而這四家報導中沒有一家報導獨立重現。此處的佐證意味著該披露是真實的，且各媒體的描述一致；這並不意味著第二間實驗室在五月確認了該機制。

也沒有 CVE。在此檢視的所有報導或 CSIRT Salud 的公告中，都沒有出現任何識別碼；這項漏洞改以擴充功能版本追蹤。Anthropic 和 LayerX 均未公布有多少使用者安裝了該擴充功能，或有多少人連接了 Google 或 GitHub。Anthropic 未回應 CyberScoop 的置評請求，而相關報導也沒有任何廠商聲明駁斥 LayerX 的說法。

這份紀錄有兩件事值得特別指出，而非加以粉飾。嚴重性等級並不一致：存檔將其列為中等，LayerX 的報告稱該漏洞為嚴重，而 CSIRT Salud 則將其警示評為「Alto」——高。這是三個不同方所作的三項判斷，本文並不將其中之一轉換成另一個。此外，主要文件已不在線上：LayerX 的部落格文章如今在一個帶有 Akamai 收購橫幅的網站上會返回 404，因此這篇技術文章在此僅存於 CyberScoop、SecurityWeek 和 CPO Magazine 所刊載的引文之中。

之後發生了什麼：到了七月仍未完成

Manifold Security 的 Ax Sharma 曾對最初的披露發表評論，他持續追查。在 2026 年 7 月 14 日發表的一份報告中，Manifold 表示已於 2026 年 5 月 21 日向 Anthropic 通報另外兩個問題，涉及擴充功能版本 1.0.72，且這兩個問題在 7 月 7 日發布的 1.0.80 版中仍可重現。

第一種是合成點擊繞過。Anthropic 的緩解措施已將任意提示文字替換為九個硬編碼的任務識別碼——其中包括 usecase-gmail、usecase-gdocs、usecase-calendar 與 usecase-salesforce——頁面可以觸發這些識別碼，但無法改寫。Manifold 發現，觸發它們的點擊處理常式從未檢查 event.isTrusted，因此 claude.ai 上的任何內容腳本都能建立按鈕、設定任務識別碼並派送假點擊。在預設的「採取行動前先詢問」模式下，使用者仍會看到核准提示；若啟用「不詢問直接採取行動」，讀取就會無聲發生。Manifold 將該路徑在預設模式下評為 CVSS 7.7，在無聲模式下評為 9.6，並強調該錯誤位於擴充功能而非模型中，且在 Opus、Sonnet 與 Fable 的側邊面板模型選擇中均可重現。

第二個問題屬於架構層面。側邊面板會從自身的 URL 讀取 skipPermissions=true 參數，並在沒有使用者手勢、也沒有同意步驟的情況下，啟動為「跳過所有權限檢查」模式。Manifold 表示，該路徑在 1.0.80 中本身無法從遠端利用，但它會把未來任何 URL 建構漏洞轉變為無聲的特權執行。Anthropic 將第一份報告結案，理由是該問題已由內部信任邊界問題涵蓋——該公司表示該問題「在完整修復前仍保持開放」——並將第二份報告以「僅供參考」結案。

那些 CVSS 分數屬於 Manifold 的發現，而不是 LayerX 最初的 ClaudeBleed，因此不應回推套用到它身上。它們確實能證明的是，一家獨立實驗室在數週後仍能透過另一個擴充功能的腳本操控 Claude。對於 LayerX 所描述的那一類缺陷而言，這是目前最有力的佐證，儘管這並不是重現 LayerX 自己的概念驗證。

為什麼零權限擴充功能才是重點

Chrome 的擴充功能模型建立在宣告式權限之上：一個什麼都不要求的擴充功能，理應幾乎什麼都存取不到。ClaudeBleed 反轉了這一點，讓助理成為持有權限的一方，再讓沒有權限的呼叫方借用這些權限。根據 CyberScoop 引述，Gispan 的說法是，這個漏洞「實際上破壞了 Chrome 的擴充功能安全性」，因為它創造了一種跨擴充功能的權限提升原語。

對防禦者而言，實務上留下的重點正是 Sharma 所指出的那一項：當攻擊者已改變代理所感知、視為自身介面的內容時，監控提示詞流並沒有帮助。可見的動作是使用者本人的點擊與確認，只是被重播或偽造。根據 CPO Magazine，LayerX 建議的方向是採用擴充功能對頁面的驗證權杖來綁定呼叫方，再加上真實的使用者核准。那是管線層面的修補，不是模型行為的修補。

就本文所檢視的報導而言，Anthropic 尚未發布針對 ClaudeBleed 的公開安全公告。現有記錄仍是一項研究發現，包含已展示的概念驗證、研究人員稱數小時內即遭繞過的部分修復，以及第二家公司通報截至七月仍未關閉的殘餘缺口。