Chrome版Claudeに存在する間接的なプロンプトインジェクションの脆弱性が、Slack、X、Claude.aiにまたがるアカウント乗っ取りへと連鎖する可能性があることが分かりました。この攻撃は、メールの内容に埋め込まれた悪意ある指示を処理した後、Claudeが認証済みブラウザセッション内でJavaScriptを実行できる性質を悪用するものです。
研究者のRaul Klugman-Onitza氏とJoão Donato氏は、武器化された1通のメールが侵入の起点になり得ることを実証しました。
被害者がClaudeに最近のメッセージの要約を依頼した場合、攻撃者が用意したメール内に隠されたプロンプトインジェクションのコンテンツが、AIアシスタントを騙して悪意あるJavaScriptパッケージを読み込ませようとする可能性があります。
このペイロードは、被害者のアクティブなブラウザセッションの権限で動作します。Gmailで認証済みのセッション内で任意のブラウザ側コードが一度実行されると、他のサービスで使われているメールベースの認証フローにアクセスできる可能性があります。
zenityによると、この概念実証(PoC)ではGmailのAtomフィードを監視し、パスワードリセットコード、ワンタイムログインコード、パスワードレスのマジックリンクなど、未読の認証メッセージを検知していました。
攻撃者は被害者のメールアドレスに対して認証または復旧フローを開始させ、届いた認証情報を捕捉し、それを使って別の場所でセッションを確立できてしまいます。
これは危険な連鎖を生み出します。間接的なプロンプトインジェクションがブラウザでのコード実行につながり、そのブラウザコードがメールにアクセスし、メールへのアクセスが認証の乗っ取りを可能にするのです。
Slackを使った実証では、被害者側のChrome版Claudeインスタンスが、意図せず実行環境として利用されました。攻撃者が制御する別のAIブラウザエージェントが、Slackのメールサインインプロセスを開始するために必要な外部の手順を担当しました。
Slackが確認コードを被害者の受信箱に送信すると、悪意あるブラウザペイロードがそのコードを特定して攻撃者に送信しました。これにより攻撃者はサインインフローを完了させ、標的のSlackワークスペースアカウントにアクセスできるようになりました。
Zenityは、この手法が信頼されたAIブラウザアシスタントを、悪意あるメールと機密性の高い企業のコラボレーションデータとをつなぐ橋渡し役に変えてしまうと強調しています。
Xのアカウント乗っ取りシナリオでは、より深いリバースエンジニアリングが必要でした。Xのパスワードリセットプロセスは、複数段階のオンボーディングワークフロー、ゲストトークン、自動化対策、ブラウザの挙動を評価するJavaScriptベースの計測機能を使用しています。
Zenityはこのリセットの流れをマッピングし、被害者のGmail受信箱に送られる確認コードを待ちながら、必要な状態遷移を自動化する方法を見つけ出しました。コードを取得した後、攻撃はパスワードリセットフローを経て、認証済みのXセッションを確立するところまで進めることができました。
このPoCはSlackの事例よりも標的固有の作業を多く必要としましたが、根底にある脆弱性は同じでした。すなわち、被害者のメール認証メッセージにアクセスできれば、アカウント復旧の保護機能を無効化できてしまうということです。
Claude.aiでの実証は、攻撃の起点として使われたのと同じプラットフォームを標的にしている点で、特に懸念されます。Claude.aiのパスワードレスログインプロセスは、マジックリンクをメールで送信します。
Zenityの調査によれば、そのメールを読み取れる攻撃者は、埋め込まれた認証データを利用することで、被害者がリンクを操作することなくログインを完了させられる可能性があるとしています。
Claude.aiアカウントが侵害された場合、チャット履歴よりもはるかに多くの情報が露出する恐れがあります。ユーザーの設定次第では、認可済みのコネクタ、アップロード済みのドキュメント、Gmail、Google Drive、Slack、カレンダー、GitHubのリソースへの経路も提供してしまう可能性があります。
この研究は、エージェント型ブラウザに対するより広範なセキュリティ上の教訓を浮き彫りにしています。信頼できないコンテンツを読み取り、認証済みセッション内でコードを実行できるAIツールには、データアクセス、指示の処理、影響の大きいアクションの間に強力な分離が必要だということです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/claude-in-chrome-prompt-injection-flaw/
