Lühidalt: Kaks parandamata haavatavust Claude’i Chrome’i laienduses võimaldavad Google’i teenustest andmeid välja viia, kuna aktiveerimismehhanism ei kontrolli, kas kasutaja interaktsioonid on ehedad.
Turvafirma Manifold dokumenteeris kaks haavatavust Anthropicu Claude’i Chrome’i laienduses (versioon 1.0.80), mis võimaldavad pahatahtlikel brauserilaiendustel pääseda ligi Gmailile, Google Docsile ja kalendrikannetele ilma kasutaja tegeliku nõusolekuta.
Manifold kirjeldab kahte strukturaalset turvaauku: esimene puudutab eelmääratletud ülesannete aktiveerimismehhanismi, mis ei kontrolli, kas klõps pärineb tegelikult kasutajalt. Standardrežiimis nõutaks kinnitust, kuid autonoomses režiimis sooritab laiendus toiminguid ilma eelneva kinnituseta — see võimaldab ka pahatahtlikel brauserilaiendustel andmeid alla laadida ilma, et kasutaja sellest teada saaks. Teine haavatavus peitub külgriba URL-parameetrites, mis võimaldavad klõpsuvaba režiimi otse laadida.
Põhiprobleem tekkis Anthropicu poolt pärast algset ClaudeBleedi haavatavust avaldatud puuduliku turvavärskenduse tõttu. See värskendus pidi piirama juurdepääsu eelmääratletud ülesannetele, kuid ei suutnud kontrollida kasutaja interaktsioonide ehedust. Anthropic oli tollal nimetanud seda nimekirja ajutiseks üleminekulahenduseks.
Manifold teavitas Anthropicut haavatavustest 21. mail 2026. Turvateadlaste sõnul pole neid vigu parandatud üheski kaheksast brauserilaienduse versioonist, mis on sellest ajast alates avaldatud. Anthropicult ametlik seisukoht seni puudub. CISOde jaoks on oluline: need haavatavused ohustavad kõiki Claude’i laienduse kasutajaid autonoomses režiimis, kui neil on lisaks paigaldatud kahjulikke brauserilaiendusi. Täielik veaparandus on endiselt tegemata.
Allikas: www.it-daily.net · Avaldatud 15. juuli 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.7.3 abil.