Home › Outro Prompt_ › Extensão do Claude pode obedecer a páginas maliciosas
Extensão do Claude pode obedecer a páginas maliciosas
Vulnerabilidades permitem que extensões maliciosas disparem funções da IA sem a aprovação do usuário; pesquisadores classificam uma das falhas como crítica e sugerem correção simples.
Pesquisadores de segurança da Manifold Security identificaram duas vulnerabilidades não corrigidas na extensão Claude for Chrome, da Anthropic, presente na versão 1.0.80 do complemento, lançada no início de julho. As falhas permitem que extensões maliciosas disparem fluxos de trabalho sensíveis da IA sem a aprovação do usuário.
Conforme reportado pelo TechRadar, a Manifold Security notificou a Anthropic sobre ambas as vulnerabilidades pelo programa de recompensa por bugs da empresa em 21 de maio de 2026, recebendo confirmação de recebimento no dia seguinte. Apesar disso, os manipuladores de código identificados como vulneráveis permaneceram inalterados nas oito atualizações subsequentes da extensão, entre as versões 1.0.73 e 1.0.80.
A falha de clique sintético
A primeira vulnerabilidade, descoberta pelo pesquisador Ax Sharma, permite que qualquer extensão do navegador acione nove fluxos de trabalho predefinidos do Claude simulando um clique sintético no site claude.ai. O problema está na ausência de verificação da propriedade Event.isTrusted antes de executar a ação, ou seja, a extensão não distingue cliques reais de cliques artificiais e os processa da mesma forma.
Os nove fluxos de trabalho predefinidos incluem operações como leitura de e-mails no Gmail, abertura de documentos no Google Docs, consulta ao Google Calendar e modificação de registros no Salesforce, tudo sem solicitar confirmação. Nas configurações padrão, a falha recebeu pontuação 7,7 (Alta) na escala CVSS. Com a execução automática ativada, esse índice sobe para 9,6 (Crítico), pois o Claude passa a agir sem nenhuma aprovação prévia.
A Anthropic encerrou o relatório sobre o clique sintético alegando que um relatório interno já rastreava o problema mais amplo de limite de confiança descrito pelos pesquisadores. Sharma avalia que a correção exigiria apenas uma linha de código adicional para verificar a propriedade isTrusted antes de permitir a continuidade do fluxo de trabalho.
Segundo problema: parâmetro de permissões ignorado
A segunda falha envolve um parâmetro de URL do painel lateral chamado skipPermissions. Quando definido como verdadeiro, o painel passa a ignorar completamente as verificações de permissão, permitindo que o Claude execute ações sem consultar o usuário.
A Manifold Security ressalta que apenas o recurso interno de tarefas programadas da própria Anthropic deveria construir esse tipo de URL privilegiada. Na prática, porém, o painel aceita o parâmetro independentemente de qual script ou página o gerou. Como exemplo de uso indevido, a Manifold cita uma tarefa que instrui o Claude a acessar a caixa de entrada do Gmail, identificar mensagens promocionais e clicar automaticamente nos links de descadastramento.
A empresa classificou essa segunda descoberta como meramente informacional, argumentando que o parâmetro é construído exclusivamente por seus próprios sistemas internos. A Manifold rebateu, destacando que “o bypass ainda consiste em seis linhas de JavaScript”, meses após a notificação inicial.
Os dois problemas foram reproduzidos nas opções de modelos Opus, Sonnet e Fable do painel lateral do Claude, indicando que as falhas estão no design de segurança da extensão, não nos modelos de inteligência artificial em si. A Manifold também associou os achados às categorias LLM01 (injeção de prompt) e LLM06 (agência excessiva) do OWASP, referência internacional em segurança de aplicações.
Os pesquisadores alertam ainda que abusos envolvendo ferramentas de IA podem ser difíceis de detectar, pois a atividade normal do navegador e as conexões de rede podem permanecer aparentemente inalteradas enquanto ações não autorizadas ocorrem em segundo plano.
