Claude for Chrome: Fremde Erweiterungen können Gmail-Aufgaben auslösen
KI-generiert mit ChatGPT
Eine Browser-Erweiterung mit Zugriff auf claude.ai kann Claude for Chrome dazu bringen, Aufgaben auszuführen. Besagte Tasks greifen auf Gmail, das zuletzt verwendete Google-Dokument samt Kommentaren und den Kalender zu. Die Analyse des Sicherheitsunternehmens Manifold Security beschreibt insgesamt zwei Schwachstellen. The Hacker News hat die aktuelle Version geprüft und beide Sicherheitslücken bestätigt.
Wie der Angriff funktioniert
Claude for Chrome ist die Browser-Erweiterung von Anthropic. Diese lässt Claude im Browser Aufgaben übernehmen. Nach einer früheren Schwachstelle schränkte Anthropic die Steuerung von außen auf neun feste Aufgaben ein. Drei davon greifen auf Mail, Dokumente und Kalender zu.
Der entscheidende Fehler liegt in der Klickprüfung. Ein Skript der Erweiterung registriert Klicks auf claude.ai, prüft jedoch nicht, ob sie tatsächlich von einem Nutzer stammen. Jede Erweiterung, die auf claude.ai ein Skript ausführen darf, kann diesen Klick fälschen. Manifold demonstrierte dies mit sechs Zeilen in der Browser-Konsole. Wie riskant ein KI-Agent mit weitreichendem Zugriff ist, haben wir bei der Sicherheitsfrage von OpenClaw eingeordnet.
AnzeigeWarum der Modus entscheidet
Der Schweregrad hängt von den vorgenommenen Einstellungen ab. Im Standardmodus fragt Claude vor jeder Aktion nach. Dann steht zwischen dem gefälschten Klick und dem Gmail-Zugriff noch ein Bestätigungsfenster. Manifold bewertet die Schwachstelle in diesem Modus mit einem CVSS-Wert von 7.7.
Anders sieht es aus, wenn der Nutzer den Modus Act without asking aktiviert hat. In diesem Modus läuft die Aufgabe ohne Rückfrage. Manifold stuft diese Sicherheitslücke als kritisch mit einem Wert von 9.6 ein. Der schnellste Schutz ist, besagten Modus abzuschalten und die installierten Erweiterungen zu prüfen. Der Vergleich mit anderen Desktop-Agenten wie Claude Computer Use zeigt, wie stark solche Freigabe-Schranken die Sicherheit prägen.
Im Mai 2026 gemeldet, weiterhin nicht behoben
Manifold meldete am 21. Mai 2026 zwei Schwachstellen. Der beschriebene gefälschte Klick ist die einzige davon, die sich aktiv ausnutzen lässt. Anthropic bestätigte beide Berichte am Folgetag und schloss die Meldungen anschließend. Nach Angaben von Anthropic wird das zugrunde liegende Vertrauensproblem bereits unter einem früheren Bericht verfolgt. Genannter Report ist laut Anthropic weiter offen und wartet auf eine vollständige Lösung.
Die zweite Schwachstelle ist struktureller Natur. Enthält die URL der Erweiterungsseitenleiste den Parameter skipPermissions, startet diese ohne Rückfrage. Der Wert muss dafür allerdings auf true stehen. Eine Zustimmung oder Nutzergeste ist dafür nicht erforderlich. Nach Angaben von Manifold kann diese URL derzeit allerdings nur die Erweiterung selbst erzeugen. Ein direkter Angriffsweg aus der Ferne ist nicht bekannt.
Anthropic schloss diesen Bericht mit dem Hinweis, dass der Parameter nur für bereits vom Nutzer freigegebene Aufgaben gesetzt werde. Manifold wertet die Schwachstelle dennoch als möglichen Baustein für einen künftigen Angriff. Voraussetzung wäre ein weiterer Fehler, der das Setzen des Parameters von außen erlaubt.
Acht Versionen später ist der betroffene Code laut Manifold noch immer unverändert enthalten. Bis zum 14. Juli 2026 lagen weder eine öffentliche Stellungnahme von Anthropic noch ein Patch vor. Auch in der CVE-Datenbank fehlt für beide Schwachstellen ein Eintrag. Besagtes öffentliches Verzeichnis erfasst dokumentierte Sicherheitslücken unter einer eindeutigen Kennung.
Die Schwachstelle steckt in der Erweiterung, nicht im Modell. Diese tritt unabhängig davon auf, ob Opus, Sonnet oder Fable im Panel läuft. Anthropic bezeichnet die Erweiterung als Beta. Wie schnell sich das Gefährdungsbild im KI-Zeitalter verschiebt, hat der Kriminalanalyst Mark T. Hofmann im Interview über den wilden Westen der KI beschrieben.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
