Vulnerabilità · 74 giorni fa
Il punto rotto non è il prompt, ma la verifica della fiducia alla base dell’attivazione. Se un’altra extension può simulare il clic richiesto, Claude viene indotto ad agire come se l’utente avesse approvato davvero, e il raggio d’azione si sposta su Gmail, Docs e Calendar collegati, non sul solo pannello di Claude.
Manifold dice di aver segnalato due flaw ad Anthropic a maggio, e che otto release uscite da allora, compresa la 1.0.80, restano esposte. La correzione introdotta dopo ClaudeBleed ha ristretto i prompt accettati da pagine esterne, ma non ha verificato che il gesto di attivazione fosse autentico; nella modalità predefinita compare ancora una conferma, però con 'Act without asking' l’azione può passare senza avvisi visibili.
Resta quindi un problema di autenticazione dell’interazione, non di contenuto del prompt. Per chi usa Claude per Chrome con account Google collegati, il rischio è affidare a un assistente browser il potere di leggere o agire su dati sensibili anche quando nessun utente li ha davvero autorizzati.
3 fonti che coprono questa storia
Claude Chrome extension flaw lets malicious extensions trigger AI actions
A flaw in Anthropic's Claude for Chrome browser extension could allow a malicious extension to trigger predefined AI actions by simulating user clicks, potentially allowing it to abuse Claude's access to connected services such as Gmail, Google Docs, Google Calendar, and Salesforce.
Researchers Say Claude for Chrome Flaw Lets Rogue Extensions Trigger Gmail Reads
Claude for Chrome v1.0.80 still accepts forged clicks from other extensions, triggering Gmail, Docs, and Calendar tasks silently in hands-off mode.
Unpatched Claude for Chrome Flaw Lets Extensions Read Gmail, Calendar
A ClaudeBleed-linked vulnerability reportedly persists across eight patches, exposing potentially sensitive data to other extensions.
Part of the PlainSec briefing for 2026-07-14