La vulnerabilidad de Claude en la extensión de Chrome permite que extensiones maliciosas roben Gmail y conduzcan datos

Los investigadores han expuesto una vulnerabilidad catastrófica que se esconde dentro de la extensión "Claude in Chrome". Al utilizar como arma una extensión que de otro modo sería inofensiva y sin permiso, los atacantes invisibles pueden secuestrar por completo el confiable asistente de IA.

Violación de límites de confianza en la extensión de Claude Chrome (fuente: Layerxsecurity) Vulnerabilidad de la extensión de Claude Chrome La causa principal es una violación de los límites de confianza sistémica vinculada al archivo de manifiesto de la extensión. La extensión utiliza la configuración externally_connectable para comunicarse con el modelo de lenguaje grande (LLM) principal claude.ai. JavaScript que se ejecuta en la página claude.ai, incluidos los scripts inyectados por extensiones maliciosas sin permisos declarados, puede ejecutar comandos privilegiados en Claude. Debido a que el script se ejecuta dentro del origen confiable, se omite el modelo de seguridad de Chrome y el atacante hereda las capacidades del asistente de IA confiable.

Si la extensión funciona en modo "privilegiado" (actuar sin preguntar), la vulnerabilidad sigue siendo totalmente explotable. La publicación La vulnerabilidad de la extensión de Chrome de Claude permite que extensiones maliciosas roben datos de Gmail y Drive apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗