Auf den Punkt: Manipulierte Browser-Erweiterungen können die Claude-Erweiterung täuschen, Aktionen im Gmail-, Google-Docs- und Calendar-Kontext durchzuführen, die Manifold Security seit Mai reproduziert hat und Anthropic bislang nicht behoben hat.
Zwei Sicherheitslücken in Anthropics Claude-Erweiterung für Chrome bleiben seit Mai unbehoben. Über sie können bösartige Browser-Erweiterungen synthetische Klicks erzeugen und Claude dazu bringen, Mails, Dokumente und Kalendereinträge auszulesen — potentiell ohne Nutzer-Zustimmung.
Manifold Security hat zwei Schwachstellen in Claudes Chrome-Erweiterung nachgewiesen, die in den Versionen 1.0.73 bis 1.0.80 (letzte bekannte Version vom 7. Juli) bestehen. Obwohl die Forscher die Lücken bereits im Mai 2024 meldeten, zeigt die aktuelle Version 1.0.80 byte-identische Code-Teile in Content-Script und Side-Panel-Handlern wie die damals getestete Version 1.0.72. Anthropic habe das interne Tracking-Ticket zeitweise als gelöst markiert, versendet dann aber mehrere Updates ohne eigentliche Sicherheitskorrektur.
Die erste Schwachstelle betrifft die Klick-Verifizierung: Claudes Click-Handler prüft nicht, ob ein Klick von echtem Nutzer-Input stammt (event.isTrusted-Eigenschaft). Eine böse Browser-Erweiterung kann daher synthetische Klicks injizieren, die Claude als legitim akzeptiert. Im Standardmodus eröffnet dies einen Angriff, der Claudes vordefinierte Browser-Aufgaben auslöst, bevor noch ein Dialog erscheint. Wenn der Nutzer die Einstellung „Handeln ohne zu fragen“ aktiviert hat, können Angreifer stille Aktion ausführen und Gmail-Inhalte, Google-Docs oder Kalendereinträge auslesen. Die Reparatur wäre trivial: eine Zeile Code am Anfang des Handlers — „if (!n.isTrusted) return;“ — hätte genügt.
Das zweite Problem liegt in der Side-Panel-Initialisierung: Ein URL-Parameter „?skipPermissions=true“ versetzt die Erweiterung in einen Privilegiertenmodus, der wiederholte Bestätigungen umgeht. Zwar identifizierten die Forscher heute keinen direkten externen Pfad, diesen Parameter zu kontrollieren, doch die Architektur schafft ein latentes Risiko: Privilegiertes Verhalten hängt vom URL-Wert ab, nicht von Nutzer-Kontrolle. Künftige Sicherheitslücken könnten diesen Parameter missbrauchen und erhöhte Rechte erben, ohne zusätzliche Prüfungen zu durchlaufen.
Manifold empfiehlt, echte Nutzer-Interaktionen vor Ausführung privilegierter Aktionen zu validieren, URL-basierte Privilegien-Eskalation zu vermeiden und die Authentifizierung interner Erweiterungs-Workflows zu stärken. Anthropic hat bislang nicht auf Anfragen zur Stellungnahme geantwortet. Der Vorfall erinnert an die ClaudeBleed-Offenlegung, bei der Anthropic ebenfalls eine öffentliche Behebung ankündigte, die Lücke aber weiterhin ausnutzbar blieb.
Quelle: www.csoonline.com · Erschienen 15. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.