Cacat pada ekstensi browser Claude untuk Chrome dari Anthropic dapat memungkinkan ekstensi jahat memicu tindakan AI yang telah ditentukan sebelumnya dengan menyimulasikan klik pengguna, sehingga berpotensi memungkinkannya menyalahgunakan akses Claude ke layanan terhubung seperti Gmail, Google Dokumen, Google Kalender, dan Salesforce.
Masalah ini ditemukan oleh Ax Sharma dari Manifold Security, yang mengatakan bahwa masalah ini berasal dari bagaimana ekstensi Claude menentukan apakah pengguna dengan sengaja meminta salah satu tugas bawaannya.
Ekstensi Chrome dengan izin untuk berjalan di situs web dapat memasukkan JavaScript ke dalam halaman, memungkinkan mereka membaca dan mengubah kontennya. Ini termasuk mengubah elemen halaman, membaca informasi yang ditampilkan di situs, dan menghasilkan peristiwa klik dan keyboard secara terprogram.
Menurut Laporan berjenisekstensi Claude mendengarkan peristiwa klik pada elemen halaman tertentu yang meluncurkan salah satu alur kerja AI bawaannya. Alur kerja ini adalah tugas yang telah ditentukan sebelumnya yang memungkinkan Claude melakukan tindakan di layanan yang terhubung seperti Gmail, Google Dokumen, Google Kalender, dan Salesforce.
Alur kerja yang didukung meliputi:
- kasus penggunaan-gmail: baca Gmail terbaru, identifikasi email promosi, dan klik berhenti berlangganan
- kasus penggunaan-gdocs: buka Google Doc terbaru pengguna, baca semua komentar dan masukan
- kalender kasus penggunaan: baca Google Kalender, temukan slot gratis, buat rapat
- kasus penggunaan-tenaga penjualan: memodifikasi prospek Salesforce, mengubahnya menjadi peluang
Para peneliti menemukan bahwa ekstensi tersebut menerima peristiwa klik yang dihasilkan JavaScript tanpa memverifikasi apakah peristiwa tersebut berasal dari pengguna sebenarnya.
Saat browser menghasilkan peristiwa dari tindakan pengguna sebenarnya, seperti klik mouse atau penekanan tombol, browser akan menandai peristiwa tersebut sebagai tepercaya dengan mengatur Event.isTrusted properti ke true. Namun, jika JavaScript digunakan untuk menghasilkan acara, browser secara otomatis menyetelnya Event.isTrusted ke falsememungkinkan laman web dan ekstensi membedakan antara interaksi pengguna sebenarnya dan peristiwa yang dihasilkan oleh JavaScript.
Menurut Manifold Security, ekstensi browser Claude tidak memverifikasi bahwa peristiwa klik berasal dari pengguna sebenarnya dengan memeriksa properti Event.isTrusted browser sebelum menjalankan salah satu alur kerja yang telah ditentukan sebelumnya.
Sebaliknya, ekstensi jahat dengan izin untuk mengubah konten di domain ‘claude.ai’ dapat memasukkan elemen halaman yang berisi salah satu dari sembilan pengidentifikasi tugas yang didukung dan menghasilkan peristiwa klik sintetis.
Meskipun browser dengan tepat menandai acara tersebut sebagai tidak tepercaya, Sharma mengatakan ekstensi Claude memperlakukannya sebagai klik pengguna yang sah dan mengeksekusi tindakan AI yang diminta.
Peneliti mencatat bahwa kelemahan tersebut tidak memungkinkan injeksi cepat secara sewenang-wenang, namun sebaliknya, serangan tersebut terbatas pada sembilan tugas yang telah ditentukan sebelumnya yang dibangun ke dalam ekstensi.
Serangan tersebut juga tidak memungkinkan situs web untuk mengkompromikan ekstensi Claude secara langsung, namun memerlukan penyerang untuk mengelabui pengguna agar memasang ekstensi berbahaya yang dapat mengeksekusi kode di claude.ai.
Ekstensi tersebut kemudian dapat memanipulasi halaman web dan memicu alur kerja ekstensi Claude.
Meskipun ekstensi peramban berbahaya sudah memiliki akses luas ke laman web yang dapat dijalankannya, para peneliti mengatakan kelemahan ini memungkinkannya menyalahgunakan akses terautentikasi Claude ke berbagai layanan yang terhubung.
Dampaknya bergantung pada konfigurasi ekstensi Claude dan apakah pengguna memilih untuk menyetujui tindakan sensitif atau mengaktifkan pengaturan opsional Claude “Bertindak tanpa meminta”, yang memungkinkan alur kerja yang telah ditentukan sebelumnya dijalankan secara otomatis.
Dalam temuan kedua, para peneliti menemukan ‘internal’skipPermissions=true‘ parameter yang melewati pemeriksaan izin tertentu saat meluncurkan ekstensi.
Namun, mereka mengakui bahwa mekanisme tersebut tidak dapat dieksploitasi secara langsung dan memerlukan kerentanan lain untuk membuat URL yang dibuat khusus.
Para peneliti melaporkan kedua temuan tersebut ke Anthropic melalui program bug bounty perusahaan. Anthropic mengakui laporan tersebut dan menutup laporan klik sintetis, menyatakan bahwa mereka telah melacaknya sebagai masalah yang lebih luas. Cacat kedua, yang melibatkan parameter skipPermissions=true internal, diklasifikasikan sebagai informasional.
Manifold mengatakan kelemahan tersebut masih dapat dieksploitasi pada versi terbaru, 1.0.80, dari ekstensi browser, yang dirilis pada 7 Juli.
“Manifold memverifikasi pada 7 Juli bahwa kedua temuan tetap dapat direproduksi di 1.0.80. Skrip konten dan pengendali panel samping yang kami kutip identik dengan byte ke sumber v1.0.72,” demikian bunyi laporan tersebut.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
