Denunciado pela primeira vez em maio, o ClaudeBleed é basicamente um problema de "controle remoto falso". Uma extensão de navegador sorrateira pode se passar pelo site oficial de Claude e secretamente controlar o Claude para... Chrome extensão para ler seus dados e realizar ações em suas contas.
O Claude para Chrome Uma extensão de navegador é um assistente que tem permissão do usuário para acessar serviços como Gmail ou Google Drive quando solicitado. O problema do ClaudeBleed ocorre porque a extensão não consegue diferenciar com precisão entre o usuário pedindo ajuda e um script malicioso fazendo solicitações em seu nome.
Assim, em vez de você clicar em um botão para dizer “Claude, leia este e-mail”, uma extensão maliciosa pode enviar a mesma solicitação às escondidas, e o Claude atende ao pedido. Ou ela pode fazer com que o Claude redija ou envie um e-mail em seu nome.
Assim que uma extensão maliciosa conseguir enviar comandos ao Claude como se fosse você, ela poderá:
- Peça ao Claude para ler seu Gmail, buscar arquivos do Google Drive ou clonar repositórios privados do GitHub, dependendo das ferramentas que o Claude precisa. Chrome expõe.
- Faça com que o Claude envie e-mails ou altere documentos durante sua sessão de login, sem que haja qualquer indício óbvio de que a solicitação não tenha partido de você.
- Isso faz com que você veja apenas uma interação aparentemente normal com o Claude ou uma breve solicitação de permissão, enquanto o verdadeiro responsável por tudo isso é a extensão maliciosa em execução em segundo plano.
A Anthropic reconheceu os relatórios dos pesquisadores no dia seguinte e, em seguida, encerrou ambos como resolvidos. Mas, segundo os pesquisadores, embora a correção da Anthropic tenha resolvido alguns sintomas, ela deixou a transferência de privilégios e os controles de agência fundamentais vulneráveis. Por exemplo, uma correção na lista de permissões alterou o que poderia ser solicitado, mas não quem poderia fazer a solicitação.
Após examinar a versão mais recente de Claude para Chrome A Manifold Security escreveu:
“Oito Claude para Chrome Em versões posteriores, a solução alternativa ainda consiste em seis linhas de JavaScript. Reportamos o problema à Anthropic em maio. O código permanece inalterado na versão mais recente.”
Como se manter seguro
Os usuários devem se lembrar que Claude para Chrome O produto ainda está oficialmente em fase beta; antes de confiarmos nele para executar tarefas automaticamente, algumas dicas são:
- Desative a opção "Agir sem perguntar " em Claude para Chrome Isso impede que o assistente execute ações sem sua aprovação, tornando muito mais difícil para uma extensão maliciosa abusar de suas permissões.
- Analise o seu Chrome Mantenha sua lista de extensões o mais curta possível e remova qualquer uma em que você não confie totalmente. Qualquer extensão que possa executar scripts em claude.ai pode acionar as tarefas do Claude, portanto, mantenha sua lista de extensões o menor possível. Se você não reconhecer ou não usar uma extensão, remova-a.
- Tenha cuidado ao conceder aos assistentes de IA do navegador acesso a contas confidenciais, como o Gmail, o Google Docs e o Google Agenda. Limitar os serviços aos quais o assistente tem acesso reduz o risco de problemas caso algo dê errado.
- Até que a Anthropic lance uma correção mais abrangente, considere desativar o Claude. Chrome Em sistemas onde você lida com correspondências, documentos ou contas comerciais confidenciais.
Impedir que as ameaças causem qualquer dano.
Malwarebytes Browser Guard Bloqueia automaticamente páginas de phishing e sites maliciosos. Gratuito, instalação com um clique. Adicione ao seu navegador →
