Brecha no Claude para Chrome permite ‘sequestrar’ a IA para extrair dados do usuário

A empresa de cibersegurança Manifold reportou duas novas brechas de segurança na extensão do Claude para o Google Chrome. As falhas permitem que o atacante aproveite a autonomia da inteligência artificial para extrair informações do Gmail, Google Docs e outros dados pessoais.

As vulnerabilidades foram destrinchadas no artigo “ClaudeBleed Reopened”, que faz referência à falha “ClaudeBleed” encontrada em maio deste ano. Assim como a original, as novas brechas permitem que extensões maliciosas instaladas no navegador interajam diretamente com o Claude e aproveitem sua autonomia e privilégios para captar informações da vítima.

O Claude para Chrome é a extensão de navegador da Anthropic que permite ao chatbot de IA interagir diretamente com o browser, seja para navegar pela web, preencher formulários ou executar ações em nome do usuário.

Extensões maliciosas podem mandar comandos para o Claude

Segundo o artigo, a primeira brecha possibilita que extensões maliciosas interajam diretamente com o Claude para o Chrome. Neste caso, a falha abusa da solução implementada para corrigir o ClaudeBleed original para acessar dados sensíveis do usuário.

Para corrigir o ClaudeBleed na versão 1.0.72 do Claude para Chrome, a Anthropic restringiu a interação de agentes externos a 9 prompts fixos, dentre eles:

• challenge-form, challenge-email, challenge-equipament: Prompts para tutoriais de onboarding com o assistente no navegador;
• use-gmail, use-gdocs, usecase-calendar: Prompts para leitura de dados de serviços do Google;
• usecase-doordash, usecase-salesforce, usecase-zillow: Prompts para interagir com plataformas de terceiros.

Esses prompts padrões não podem ser sobrescritos e resolvem o problema do ClaudeBleed, evitando que uma página web possa dar ordens diretas para a IA.

A Manifold percebeu que o mecanismo que aciona esses prompts pré-configurados reside em um script que observa cliques em componentes relacionados, mas a extensão não verifica a autenticidade desse clique – isto é, se partiu de um usuário humano. Essa falta de tratamento permite que uma página web envie um clique sintético para a IA, simulando a intervenção humana.

Consequentemente, isso abre caminho para que o complemento malicioso abuse dos prompts pré-configurados para extrair informações sensíveis do usuário em serviços importantes, como Gmail, Google Docs, Calendário e Salesforce.

Claude pode ser invocado com “passe livre”

A outra brecha encontrada está na estrutura da extensão da Anthropic: toda vez que o painel lateral do Claude é iniciado, ele confere o valor de skipPermissions de seu próprio endereço URL. Se o valor for “false”, o Claude pede permissão para executar qualquer ação; se “true”, a IA pode agir sem perguntar.

O problema, porém, é que não há uma confirmação para alterar as permissões de uso do Claude. O usuário não precisa confirmar a alteração para “Agir sem perguntar” e o aviso que aparece na seção só é exibido após a mudança do privilégio de acesso.

Além disso, o Claude não verifica especificamente quem o invocou. Portanto, uma extensão maliciosa pode chamar o Claude e passar o valor “true” como parâmetro para a skipPermissions, concedendo autonomia total à IA.

Neste caso, a brecha não leva exatamente a uma extração de dados ou download malicioso, mas é um defeito estrutural importante que pode ser usado em conjunto com outras falhas para captar informações do usuário. Somada à brecha do clique sintético, por exemplo, permitiria que um malware extraísse informações do Gmail, Docs e da Agenda de forma silenciosa.

Manifold reportou os problemas

A Manifold afirma ter reportado as brechas diretamente à Anthropic em 21 de maio deste ano, logo após a publicação do ClaudeBleed. Contudo, até a versão 1.0.80, as vulnerabilidades não foram corrigidas.

“No nosso caso, a Anthropic não comentou publicamente nenhuma das nossas descobertas específicas. Não temos como determinar, a partir de fora, se o status ‘Resolvido’ reflete um trabalho planejado para uma versão futura ou uma decisão de que a capacidade residual não justifica novas alterações no código”, comentou a Manifold no artigo.

Quer ficar por dentro das novidades do mundo da tecnologia? Acesse o TecMundo e acompanhe as últimas notícias sobre Anthropic, Claude e cibersegurança.