Skjult e-post fikk Claude in Chrome til å tømme Gmail og kapre Slack, X og Claude.ai

Zenity Labs publiserte 5. august en fullstendig angrepskjede mot Anthropics Claude-utvidelse for Chrome. Den starter med at du ber agenten om noe helt hverdagslig: oppsummer de siste e-postene mine. En av e-postene i innboksen inneholder skjult tekst, injiserte samtaleturer og instruksjoner lagt inn i et bilde. Claude leser dem som legitime instruksjoner og kjører JavaScript i nettleseren din.

Nøkkelen er javascript_tool, verktøyet utvidelsen bruker til å kjøre kode på siden du står på. Zenity fikk det til å kjøre både i «YOLO mode» og i den såkalt trygge «ask before acting»-modusen, fordi verktøyet kjører uten domenegodkjenning gjennom Claudes update_plan-mekanisme.

«Dette er ikke et klassisk Cross-Site Scripting-tilfelle begrenset til én sårbar nettside, men en fullverdig Universal XSS» (Zenity Labs)

For å komme forbi modellens egne refusjoner registrerte forskerne et privat pakkeregister på esm-sh.com, et navn som ligner CDN-en esm.sh, og publiserte en npm-pakke der uuid.v4() returnerer en gyldig UUID samtidig som den kjører angriperens kode. Verken Claude eller brukeren ser noe unormalt.

Derfra går kjeden videre. Gmail eksponerer en Atom-feed som returnerer metadata om nye e-poster, og siden koden kjører i nettleserkonteksten din sendes øktinformasjonskapslene automatisk med. Ingen ekstra innlogging kreves. Zenity brukte det til å lekke hele innboksen, til å dele hver fil i Google Drive med angriperen som skriver, og til å fange engangskoder i sanntid.

Kontoovertakelsene fulgte samme mønster mot tre mål: start innloggingsflyten med offerets e-postadresse, hent verifiseringskoden fra innboksen, fullfør flyten. Mot Slack spratt angrepet innom en andre Claude-instans på angriperens server, som løste CAPTCHA-en etter å ha fått beskjed om at den var en falsk en laget for å teste ferdighetene dens. Mot X kjørte de hele passordtilbakestillingen mot interne API-er. Mot Claude.ai utnyttet de magic link-innloggingen og fikk tilgang til chathistorikk, opplastede filer og alle tidligere koblede tjenester.

Zenity kaller angrepsklassen PleaseFix og publiserte samtidig en parallell studie mot OpenAIs ChatGPT Atlas. Selskapet skriver at rapportene til Anthropic ble sendt i slutten av 2025 og starten av 2026, og at de ble klassifisert som informative.

«Vi advarte om hva som kunne gå galt. Nå er vi her for å vise hva som faktisk går galt» (Zenity Labs)

Poenget for deg som bygger agenter er tillitsgrensen, ikke denne ene utvidelsen. En agent som både leser upålitelig innhold og sitter på en autentisert økt, har ingen mekanisme som skiller instruksjoner fra data.

Hva bør du gjøre?

1. Slå av eller begrens nettleseragenter mot Gmail, Drive og andre tjenester der engangskoder og gjenopprettingslenker lander.
2. Krev godkjenning utenfor kanalen for kontogjenoppretting, og bruk phishing-resistent autentisering framfor e-postkoder der du kan.
3. Behandle enhver kodekjøringsevne i en agent som et universelt XSS-primitiv, og pin avhengigheter til registre du faktisk kontrollerer.