- Anthropic製Claude拡張機能の欠陥により、偽のクリック操作で機密性の高いAIワークフローを起動可能
- 研究者らは、拡張機能の8回のアップデートを通じて脆弱なハンドラーが変更されないままだったことを発見
- 合成クリックが、実際のユーザー操作を確認するためのチェックを回避
セキュリティ研究者集団Manifold Securityは、AnthropicのChromeブラウザ拡張機能であるClaude for Chromeのバージョン1.0.80(2026年7月7日リリース)に、未修正の脆弱性が2件存在すると主張しています。
Manifold Securityによると、同社は2026年5月21日にAnthropicのバグバウンティプログラムを通じて両脆弱性を最初に報告し、翌日には確認の連絡を受けたということです。
1つ目の欠陥は、claude.ai上で合成的なユーザークリックをシミュレートすることで、任意のブラウザ拡張機能があらかじめ定義された9種類のClaudeワークフローを起動できてしまうというものです。
9つのワークフローと欠落していた1つのチェック
研究者のAx Sharma氏は、この拡張機能がクリックイベントを処理する際に、そのイベントがEvent.isTrustedプロパティを持っているかどうかを一切検証していなかったことを突き止めました。
デフォルト設定下では、この脆弱性のCVSSスコアは7.7(High)とされていますが、ユーザーが自動実行を有効にしている場合はClaudeが承認なしに操作を実行できてしまうため、スコアは9.6(Critical)まで上昇します。
ハードコードされた9つのタスクには、Gmailの読み取り、Google Docsの開封、Googleカレンダーの確認、そして確認を取らずにSalesforceのリード情報を変更する、といった操作が含まれています。
ブラウザは合成クリックを「信頼できない(untrusted)」ものとしてマークするため、本来であれば拡張機能側はこれを拒否すべきでした。しかし実際には、そのままワークフローが実行されてしまっていました。
Manifold Securityは2026年7月7日、両脆弱性がバージョン1.0.80に対してもなお有効であることを確認しました。これはAnthropicへの最初の報告から数か月が経過した後のことです。
Anthropicはバージョン1.0.73から1.0.80までの間に8つの個別バージョンをリリースしましたが、研究者らが既に脆弱性ありと指摘していた特定のハンドラーには手を加えていませんでした。
同社は、研究者らが詳細に説明した、より広範な信頼境界(トラストバウンダリー)の問題については既存の社内報告で追跡済みであるとして、合成クリックに関する報告をクローズしました。
しかし、Sharma氏は、クリックイベントのisTrustedプロパティを検証してからワークフローの続行を許可するようにするだけで、修正にはわずか1行のコード追加で済んだはずだと考えています。
2つ目の構造的な弱点
2つ目の欠陥は、サイドパネルのURLパラメータであるskipPermissionsに関するもので、これを使うと同意プロンプトを一切表示させることなく特権モードを有効化できてしまいます。
このパラメータをtrueに設定すると、パネルは権限チェックを完全にスキップするようになり、Claudeはユーザーに確認を求めることなく操作を実行できるようになります。
Manifoldによると、現時点でこの種の特権URLを内部的に生成することが想定されているのは、Anthropic自身のスケジュールタスク機能のみだということです。
ところが実際には、このパネルは、どのスクリプトやページが元となるURL文字列を生成したものであるかにかかわらず、このパラメータをそのまま尊重してしまいます。
実例として挙げられたタスクの一つでは、Claudeがユーザーのメール受信トレイを読み取り、プロモーションメッセージを特定した上で、その中に含まれる配信解除リンクを自動的にクリックできてしまうというものがありました。
Manifoldは、研究者らがAnthropicにこの根本的な問題を最初に指摘してから数か月が経過した今もなお、「回避策はいまだJavaScriptわずか6行で可能」だと警告しています。
Anthropicはこの2つ目の発見については、このパラメータは自社の内部システムによってのみ生成されるものだとして、「参考情報」としての分類にとどめました。
Manifoldによると、両脆弱性に関連するコンテンツスクリプトおよびサイドパネルのコードは、最初の報告後に検証した8回にわたる拡張機能のリリースを通じて、バイト単位で全く同一のままだったということです。
これらの欠陥は、ClaudeのOpus、Sonnet、Fableそれぞれのサイドパネルモデル選択においても再現されており、この問題が根底にある人工知能モデル自体ではなく、拡張機能のセキュリティ設計に起因することを示しています。
この報告書はまた、今回の発見をAIアプリケーションにおけるOWASPの懸念事項、すなわち「LLM01: プロンプトインジェクション」および「LLM06: 過剰なエージェンシー」のリスクとも結びつけています。
研究者らは、通常のブラウザ操作やネットワーク接続は、不正なAI操作が実行されている間も見かけ上変化しないように見えることがあるため、AIツールが関わる悪用は依然として検知が難しい可能性があると指摘しています。
