ทันเอไอ

Une faille dans l'extension Claude for Chrome pourrait permettre à des logiciels malveillants d'usurper des clics pour accéder à Gmail et Google Docs

Des chercheurs en sécurité ont découvert une vulnérabilité dans l'extension de navigateur Claude, permettant potentiellement à des extensions malveillantes d'usurper l'action de l'utilisateur pour ordonner à l'IA d'accéder à des données sensibles.

La société de sécurité Manifold Security a révélé une faille dans l'extension populaire 'Claude for Chrome' d'Anthropic, qui pourrait permettre à des extensions malveillantes d'exécuter des commandes via Claude AI sans l'accord de l'utilisateur.

Découverte par le chercheur Ax Sharma, la vulnérabilité repose sur un défaut de vérification : l'extension Claude ne contrôle pas la propriété 'Event.isTrusted', un standard qui distingue les clics réels des clics générés par des scripts. Ainsi, une extension malveillante installée sur le même navigateur peut simuler un clic utilisateur pour déclencher des fonctions existantes, comme résumer des Google Docs, rédiger des e-mails dans Gmail ou gérer des agendas dans Google Calendar.

Toutefois, cette attaque est limitée : elle ne permet pas d'injection de prompt arbitraire, mais se restreint aux 9 commandes préprogrammées dans l'extension. De plus, elle nécessite que l'utilisateur installe préalablement une extension malveillante distincte ; un site web classique ne peut pas prendre le contrôle directement.

Manifold Security a attribué à cette faille un score CVSS de 7,7 sur 10, pouvant grimper jusqu'à 9,6 si le mode 'exécution sans surveillance' est activé. À l'heure actuelle, la vulnérabilité n'a pas encore été corrigée.