ทันเอไอ

Detectan vulnerabilidad en la extensión 'Claude for Chrome': podría permitir que malware suplante clics y acceda a Gmail y Google Docs

Investigadores de seguridad descubrieron un fallo en la extensión de Claude que permite a extensiones maliciosas 'suplantar' clics del usuario para ejecutar comandos de IA en servicios conectados sin autorización.

La firma Manifold Security reveló una vulnerabilidad en la popular extensión 'Claude for Chrome' de Anthropic, que podría permitir que otras extensiones maliciosas controlen la IA para interactuar con los datos privados del usuario sin su consentimiento.

El fallo, descubierto por el investigador Ax Sharma, radica en la validación de comandos. La extensión de Claude no verifica la propiedad 'Event.isTrusted', un estándar del navegador diseñado para distinguir clics humanos reales de aquellos generados por scripts. Esto permite que una extensión maliciosa instalada en el mismo navegador simule clics del usuario para activar funciones preprogramadas, como resumir documentos de Google Docs, redactar correos en Gmail o gestionar citas en Google Calendar.

No obstante, el ataque tiene limitaciones: no permite la inyección de prompts arbitrarios, sino que está restringido a los 9 comandos preconfigurados en la extensión. Además, el ataque requiere que el usuario instale previamente una extensión maliciosa que envíe los clics falsos, por lo que un sitio web convencional no puede explotarlo directamente.

Manifold Security asignó a esta vulnerabilidad una puntuación CVSS de 7.7, que podría escalar a un nivel crítico de 9.6 si el usuario tiene activado el modo de "ejecución desatendida". Hasta el momento del informe, el fallo no ha sido corregido.