Investigadores han descubierto una vulnerabilidad catastrófica en la extensión "Claude in Chrome". Mediante el uso de extensiones maliciosas que parecen inofensivas, atacantes invisibles pueden secuestrar el asistente de IA para robar silenciosamente mensajes privados de Gmail, documentos restringidos de Google Drive y repositorios secretos de GitHub.

Unos investigadores han expuesto una vulnerabilidad catastrófica oculta dentro de la extensión "Claude in Chrome". Al convertir en arma una extensión que, de otro modo, sería inofensiva y sin permisos, atacantes invisibles pueden secuestrar completamente el asistente de IA de confianza.

Pueden transformarlo en un títere malicioso que saquea silenciosamente mensajes privados de Gmail, documentos restringidos de Google Drive y repositorios secretos de GitHub.

Este aterrador punto ciego expone el lado oscuro de la carrera por la automatización de la IA, demostrando que cuando los proveedores expanden imprudentemente los límites de confianza para acelerar las cosas, dejan nuestras bóvedas digitales más sensibles totalmente abiertas a la explotación.

Vulnerabilidad de la extensión de Claude para Chrome

La causa raíz es una violación sistémica del límite de confianza vinculada al archivo manifiesto de la extensión.

La extensión utiliza el ajuste externally_connectable para comunicarse con el Modelo de Lenguaje Extenso (LLM) principal de claude.ai. Sin embargo, solo verifica el origen de la solicitud (claude.ai) en lugar del contexto de ejecución real.

El JavaScript que se ejecuta en la página de claude.ai, incluidos los scripts inyectados por extensiones maliciosas sin permisos declarados, puede ejecutar comandos privilegiados en Claude.

Debido a que el script se ejecuta dentro del origen confiable, se elude el modelo de seguridad de Chrome y el atacante hereda las capacidades del asistente de IA de confianza.

Para explotar este fallo, los investigadores crearon una extensión de prueba de concepto mínima que logró evadir las barreras de seguridad integradas de Claude utilizando dos técnicas principales:

• Bucle de Aprobación: Claude exige confirmaciones del usuario para acciones sensibles. Los investigadores evadieron esto falsificando programáticamente el consentimiento del usuario, enviando repetidamente "Sí, proceder" para satisfacer las solicitudes de confirmación basadas en el estado.
  
• Manipulación de la Percepción: La toma de decisiones de Claude se basa en gran medida en el texto visible y la estructura del Modelo de Objetos del Documento (DOM).

Los atacantes modificaron dinámicamente la semántica de la interfaz de usuario, como renombrar un botón de "Compartir" a "Solicitar comentarios", engañando la percepción visual de la IA para ejecutar acciones restringidas que creía que eran benignas.

Una vez secuestrada, la IA actúa como un "delegado confundido". LayerX demostró que los atacantes podían extraer código fuente privado de GitHub, compartir documentos restringidos de Google Drive con usuarios externos y resumir, reenviar y eliminar mensajes recientes de Gmail de un usuario.

Cabe destacar que esto no requiere interacción del usuario ni cadenas de explotación complejas.

LayerX informó del fallo a Anthropic el 27 de abril de 2026. El 6 de mayo de 2026, Anthropic lanzó la versión 1.0.70, que introdujo flujos de aprobación explícitos para las acciones estándar del navegador.

Sin embargo, los investigadores señalan que este parche es incompleto porque se centra en una capa de permisos basada en la interfaz de usuario en lugar de corregir el controlador externally_connectable subyacente.

Si la extensión opera en modo "privilegiado" (Actuar sin preguntar), la vulnerabilidad sigue siendo totalmente explotable.

Además, los atacantes pueden abusar del flujo de inicialización del panel lateral para forzar una sesión independiente en modo privilegiado, eludiendo por completo los controles de seguridad recién introducidos.

Para remediar adecuadamente este fallo del modelo de confianza, LayerX recomienda implementar una validación estricta de los remitentes de mensajes externos en lugar de confiar en los síntomas basados en la interfaz de usuario.

Los cambios arquitectónicos recomendados incluyen:

• Introducir tokens de autenticación de extensión a página, como solicitudes firmadas criptográficamente, para verificar la identidad del remitente.
• Restringir los ajustes de externally_connectable a IDs de extensiones confiables en lugar de confiar ampliamente en las URL de origen.
• Vincular las aprobaciones del usuario estrictamente a acciones específicas mediante tokens de un solo uso y flujos que no permitan la repetición.