«Feilen ligger i en instruksjon i utvidelsens kode som lar hvilket som helst skript i origin-nettleseren kommunisere med Claudes LLM, men som ikke verifiserer hvem som kjører skriptet,» skriver LayerX-forsker Aviad Gispan i rapporten som ble publisert via Cybernoz. Konsekvensen er at en hvilken som helst annen Chrome-utvidelse, selv en uten spesielle tillatelser, kan injisere skjulte instruksjoner og overta Claude-agenten.
LayerX demonstrerte sårbarheten ved å hente filer fra Google Drive og dele dem med uautoriserte mottakere, overvåke nylig e-postaktivitet og sende e-poster på vegne av brukeren, og stjele privat kildekode fra et koblet GitHub-repo. Forskerne brukte også teknikker som å fjerne brukergrensesnitt-elementer rundt sensitive operasjoner slik at brukeren ikke skjønte hva som faktisk ble bekreftet.
«Det mest sofistikerte ved dette angrepet er ikke injeksjonen, men at agentens oppfattede miljø ble manipulert til å produsere handlinger som så legitime ut innenfra. Det er trusselklassen industrien må bygge forsvar mot.» (Ax Sharma, Head of Research, Manifold Security)
Gispan rapporterte feilen til Anthropic 27. april. Anthropic svarte dagen etter at den var et duplikat av et kjent problem som var under retting. Fiksen som kom 6. mai introduserer nye godkjenningsflyter for privileged-handlinger, men LayerX hevder de fortsatt klarte å overta agenten ved å bytte til privileged-modus uten brukerens samtykke.
For utviklere som bygger med Claudes browser-kapabiliteter er problemet bredere enn én utvidelse: Claude tar avgjørelser basert på tekst, UI-semantikk og skjermbilde-tolkning, alt sammen flater angripere kan kontrollere. Sharma peker på at å overvåke agenter på prompt-laget ikke er nok når selve det persiperte miljøet kan manipuleres.
Hva bør du gjøre?
- Avinstaller Claude-utvidelsen midlertidig hvis du har andre uauditerte plugins installert i samme Chrome-profil, eller bytt til en separat profil dedikert til Claude.
- Bruk strenge browser-profiler for agent-arbeid. Egen Chrome-profil eller Chromium-instans for hver agent-pipeline begrenser blast radius hvis én utvidelse blir kompromittert.
- Logg agent-handlinger på utsiden av utvidelsen. Hvis du gir en agent OAuth-tilgang til Drive eller GitHub, sett opp audit-logger og webhook-varsler hos tjenesten selv, ikke bare i Claude-grensesnittet, så du fanger uautoriserte operasjoner uavhengig av hva agenten viser.