Sió-Informatika Rendszerház

Egy biztonsági hiányosság miatt rosszindulatú vagy kompromittált Chrome-bővítmények valódi felhasználói kattintás nélkül indíthatnak el előre meghatározott műveleteket az Anthropic Claude for Chrome bővítményében.

A támadás bizonyos körülmények között lehetővé teheti, hogy a Claude hozzáférjen a felhasználó Gmail-fiókjához, Google Dokumentumaihoz vagy Google Naptárához, illetve műveleteket hajtson végre olyan külső szolgáltatásokban, mint a Salesforce.

A hibát a Manifold Security kutatója, Ax Sharma azonosította. A vizsgálat szerint a Claude for Chrome nem ellenőrizte megfelelően, hogy egy kattintási esemény valódi felhasználói műveletből vagy JavaScript által generált mesterséges eseményből származott-e.

A probléma különösen azoknál jelenthet nagyobb kockázatot, akik engedélyezték az „Act without asking”, vagyis a további megerősítés nélküli automatikus végrehajtás lehetőségét.

Nem egy hagyományos weboldalról indítható támadásról van szó

A sérülékenységet nem lehet pusztán egy rosszindulatú weboldal meglátogatásával kihasználni.

A támadónak először rá kell vennie a felhasználót egy másik Chrome-bővítmény telepítésére. Ennek a bővítménynek jogosultsággal kell rendelkeznie ahhoz, hogy kódot futtasson a claude.ai tartományon.

A támadás tehát az alábbi előfeltételeket igényli:

• a felhasználó telepít egy rosszindulatú vagy később kompromittált Chrome-bővítményt;
• a bővítmény hozzáférést kap a Claude weboldalához;
• a felhasználó be van jelentkezve a Claude szolgáltatásba;
• a Claude for Chrome rendelkezik hozzáféréssel bizonyos külső szolgáltatásokhoz;
• az érintett előre meghatározott workflow-k elérhetők.

A kockázatot csökkenti, hogy a támadó nem küldhet tetszőleges promptot a Claude-nak. Csak a bővítményben előre rögzített műveletek közül választhat.

Hogyan működhet a támadás?

A kutatók szerint egy megfelelő jogosultságokkal rendelkező rosszindulatú Chrome-bővítmény módosíthatja a Claude weboldalának Document Object Model szerkezetét.

A DOM a weboldal elemeit, gombjait, szövegeit és interaktív komponenseit leíró struktúra.

A támadó bővítmény:

1. létrehozhat egy új DOM-elemet;
2. elhelyezhet benne egy Claude által felismert feladatazonosítót;
3. JavaScript segítségével mesterséges kattintást generálhat;
4. elindíthatja az adott előre definiált AI-workflow-t.

A Claude for Chrome a kutatás szerint ezt az eseményt úgy kezelhette, mintha maga a felhasználó kattintott volna a műveletet elindító elemre.

Hiányzott az event.isTrusted ellenőrzése

A probléma középpontjában a böngészőesemények eredetének ellenőrzése áll.

Amikor egy felhasználó fizikailag rákattint egy gombra, lenyom egy billentyűt vagy más valódi interakciót végez, a böngésző megbízható eseményt hoz létre.

Egy webalkalmazás az esemény isTrusted tulajdonságával ellenőrizheti, hogy az interakció valóban a felhasználótól származott-e.

Valódi felhasználói eseménynél az érték:

event.isTrusted = true

JavaScript által előállított mesterséges eseménynél:

event.isTrusted = false

A Manifold Security kutatása szerint a Claude for Chrome eseménykezelője elfogadta a kattintást anélkül, hogy ellenőrizte volna az event.isTrusted értékét.

A böngésző tehát helyesen jelezte, hogy a kattintás mesterséges volt, a Claude bővítménye azonban nem használta fel ezt az információt a művelet blokkolására.

A böngésző biztonsági modellje nem hibázott

A vizsgálat alapján nem a Chrome eseménykezelése működött hibásan.

A böngésző megfelelően megjelölte a JavaScript által generált kattintást nem megbízható eseményként.

A biztonsági határ azért sérült meg, mert a Claude bővítménye nem ellenőrizte ezt a jelzést, mielőtt a kattintást magasabb jogosultságú AI-műveletté alakította.

Ez lényeges különbség.

A probléma nem abból ered, hogy a támadó képes mesterséges kattintást létrehozni. Webes környezetben ez önmagában megszokott működés.

A kockázat abból adódik, hogy egy magas jogosultságokkal rendelkező, több webhelyen műveleteket végrehajtani képes AI-ügynök valódi felhasználói engedélyként fogadta el a mesterséges eseményt.

Kilenc előre meghatározott feladat érintett

A sérülékenység nem biztosított korlátlan promptküldési lehetőséget.

A Manifold szerint a támadó csak kilenc, a Claude for Chrome bővítményébe beépített feladatazonosítót használhatott.

Három feladat az onboarding vagy oktatási folyamatokhoz kapcsolódott:

• challenge-form;
• challenge-email;
• challenge-equipment.

További hat workflow külső weboldalakkal és szolgáltatásokkal végzett gyakorlati műveleteket indított:

• usecase-gmail;
• usecase-gdocs;
• usecase-calendar;
• usecase-doordash;
• usecase-salesforce;
• usecase-zillow.

Ez jelentősen korlátozza a támadási lehetőségeket, de több beépített feladat így is érzékeny adatokhoz férhet hozzá vagy módosításokat hajthat végre.

Mit tehet a Gmail-workflow?

A kutatók elemzése szerint a Gmailhez kapcsolódó feladat:

• megnyithatja a felhasználó legutóbbi leveleit;
• azonosíthatja a promóciós üzeneteket;
• megpróbálhat leiratkozni bizonyos levelezőlistákról.

Ez azt jelenti, hogy a workflow legalább részben olvashatja a felhasználó Gmail-tartalmait.

A támadó a sérülékenységen keresztül nem adhat szabadon olyan utasítást, hogy a Claude továbbítsa a teljes postaládát vagy keressen meg egy konkrét jelszót.

Ennek ellenére az AI-workflow akaratlan elindítása betekintést nyújthat olyan üzenetekbe, amelyekhez a felhasználó hozzáfér.

Google Dokumentumok olvasása is lehetséges

A Google Docs workflow a kutatás szerint megnyithatja a felhasználó legutóbbi dokumentumát, majd elolvashatja a hozzá tartozó megjegyzéseket és visszajelzéseket.

Egy vállalati környezetben ezek a dokumentumok tartalmazhatnak:

• belső üzleti információkat;
• szerződéstervezeteket;
• pénzügyi adatokat;
• személyes adatokat;
• projektinformációkat;
• vezetői megjegyzéseket;
• ügyféladatokat;
• fejlesztési terveket.

A Claude a felhasználó meglévő jogosultságaival fér hozzá a dokumentumokhoz. A rendszer tehát nem képes olyan adatot elolvasni, amelyhez a felhasználónak sincs hozzáférése.

A kockázatot az jelenti, hogy egy rosszindulatú bővítmény a felhasználó valódi szándéka nélkül indíthatja el az olvasási folyamatot.

A Google Naptár workflow eseményt is létrehozhat

A Calendar workflow:

• megvizsgálhatja a felhasználó naptárát;
• áttekintheti a bejegyzett eseményeket;
• szabad időpontokat kereshet;
• új meetingeket hozhat létre.

Ez nemcsak információbiztonsági, hanem integritási kockázatot is jelent.

Egy jogosulatlanul elindított naptárművelet:

• felfedheti a felhasználó időbeosztását;
• megmutathatja, kikkel találkozik;
• jelezheti a távolléteket;
• üzleti projektek neveit teheti láthatóvá;
• nem kívánt eseményt hozhat létre;
• zavart okozhat a munkaszervezésben.

A Salesforce-workflow vállalati környezetben különösen kockázatos

A Salesforce-feladat üzleti környezetben súlyosabb következményekkel járhat.

A kutatók szerint a workflow:

• módosíthatja az értékesítési leadeket;
• lehetőséggé alakíthatja azokat;
• változtatásokat hajthat végre CRM-adatokban.

Egy ilyen művelet érintheti:

• az ügyfélkapcsolati adatokat;
• az értékesítési folyamatot;
• a pipeline kimutatásokat;
• a riportokat;
• a bevételi előrejelzéseket;
• a munkatársak feladatait.

A támadó ugyan nem adhat szabadon tetszőleges Salesforce-utasítást, de egy engedély nélkül aktivált beépített művelet így is megváltoztathat vállalati adatokat.

A DoorDash és Zillow feladatok is aktiválhatók

A további workflow-k a DoorDash és Zillow szolgáltatásokhoz kapcsolódnak.

Ezek várhatóan fogyasztói jellegű folyamatokat hajtanak végre, például:

• szolgáltatások megnyitását;
• információk keresését;
• fiókhoz kapcsolódó adatok kezelését;
• előre meghatározott webes interakciókat.

A pontos következmények az adott feladat működésétől, a felhasználó bejelentkezési állapotától és a Claude engedélyeitől függnek.

Miért szükséges egy másik Chrome-bővítmény?

A támadást egy hagyományos weboldal nem tudja önmagában végrehajtani.

A rosszindulatú bővítménynek olyan host permissionnel kell rendelkeznie, amely lehetővé teszi a kód futtatását a Claude oldalán.

A Chrome-bővítmények többféle módon kaphatnak webhely-hozzáférést:

• előre megadott domainengedéllyel;
• az activeTab mechanizmuson keresztül;
• futás közben kért jogosultsággal;
• minden webhelyre kiterjedő hozzáféréssel.

A megfelelő jogosultság birtokában a bővítmény content scriptet futtathat, amely:

• olvashatja a weboldal DOM-ját;
• módosíthatja az oldal elemeit;
• új komponenseket szúrhat be;
• figyelhet bizonyos interakciókat;
• üzenetet küldhet a bővítmény más részeinek.

A Chrome fejlesztői dokumentációja ezért azt javasolja, hogy a content scriptektől érkező adatokat a fejlesztők potenciálisan támadó által befolyásolhatónak tekintsék.

A rosszindulatú bővítmény kölcsönveheti a Claude jogosultságait

A támadási modell egyik legfontosabb eleme, hogy a rosszindulatú bővítmény nem feltétlenül rendelkezik közvetlen hozzáféréssel a Gmailhez, a Google Dokumentumokhoz vagy a Salesforce-hoz.

Ehelyett a Claude jogosultságait próbálja felhasználni.

A felhasználó korábban engedélyt adott a Claude-nak arra, hogy:

• weboldalakat olvasson;
• linkekre és gombokra kattintson;
• szöveget írjon be;
• tabokat kezeljen;
• webhelyek között navigáljon;
• képernyőképet készítsen;
• külső szolgáltatásokban műveleteket végezzen.

A rosszindulatú bővítmény a mesterséges kattintással arra próbálhatja rávenni a Claude-ot, hogy ezeket a képességeket nem a felhasználó, hanem a támadó által kiválasztott workflow végrehajtására használja.

Confused deputy problémáról lehet szó

A támadás a klasszikus confused deputy, vagyis megtévesztett megbízott biztonsági problémához hasonlítható.

Ebben a helyzetben:

• egy alacsonyabb bizalmú komponens kérést küld;
• egy magasabb jogosultságú komponens végrehajtja azt;
• a magasabb jogosultságú rendszer nem ellenőrzi megfelelően a kérés eredetét;
• a támadó közvetve hozzáfér az erősebb komponens képességeihez.

A rosszindulatú Chrome-bővítmény kevesebb jogosultsággal rendelkezhet, mint a Claude.

A Claude azonban a mesterséges kattintás elfogadásával olyan műveletet hajthat végre, amelyre a támadó bővítmény önmagában nem lenne képes.

A Claude for Chrome kiterjedt böngészőjogosultságokkal rendelkezik

A Claude for Chrome nem egyszerű chatbotbővítmény.

Az Anthropic leírása szerint a bővítmény képes:

• weboldalakat olvasni;
• felületi elemekre kattintani;
• mezőket kitölteni;
• szöveget beírni;
• oldalak között navigálni;
• tabokat megnyitni és kezelni;
• képernyőképeket készíteni;
• több lépésből álló webes feladatokat végrehajtani.

A bővítmény több Chrome-jogosultságot is használhat, köztük:

• side panel;
• tabs;
• scripting;
• debugger.

A debugger jogosultság különösen jelentős, mert széles körű böngészővezérlést biztosíthat.

Ezek a képességek a termék működéséhez szükségesek, ugyanakkor nagyobb biztonsági kockázatot eredményeznek, ha a rendszer nem ellenőrzi pontosan a beérkező utasítások eredetét.

Az agentic AI kiterjeszti egy mesterséges kattintás hatását

Egy hagyományos weboldalon egy mesterséges kattintás legfeljebb:

• megnyithat egy menüt;
• aktiválhat egy gombot;
• beküldhet egy űrlapot;
• megváltoztathat egy egyszerű beállítást.

Egy AI-ügynökkel összekapcsolt bővítmény esetében ugyanez az esemény több webhelyen átívelő, összetett folyamatot indíthat el.

A Claude például:

1. megnyithat egy külső szolgáltatást;
2. felhasználhatja a böngésző meglévő bejelentkezett állapotát;
3. adatokat olvashat;
4. döntést hozhat;
5. módosítást hajthat végre;
6. további weboldalra navigálhat.

Ezért az agentic browser bővítményeknél a valódi felhasználói szándék ellenőrzése alapvető biztonsági követelmény.

A jóváhagyási beállítások jelentősen befolyásolják a kockázatot

A Claude alapértelmezett működésében az érzékenyebb műveletekhez további jóváhagyás lehet szükséges.

Ez azt jelenti, hogy egy mesterséges kattintással elindított workflow bizonyos esetekben még megjeleníthet egy megerősítő ablakot a felhasználónak.

A felhasználó ekkor elutasíthatja a váratlan műveletet.

Ez azonban nem nyújt teljes védelmet.

A megerősítés:

• legitimnek tűnhet;
• olyan szolgáltatásra hivatkozhat, amelyet a felhasználó rendszeresen használ;
• figyelmetlenül elfogadható;
• elveszhet a sok engedélykérés között;
• jóváhagyási fáradtsághoz vezethet.

A felhasználók gyakran automatikusan jóváhagyják a kéréseket

Az Anthropic korábbi megfigyelése szerint a Claude Code felhasználói az engedélykérések körülbelül 93 százalékát jóváhagyták.

Ez azt mutatja, hogy a gyakori megerősítő ablakok önmagukban nem feltétlenül jelentenek megbízható biztonsági kontrollt.

A felhasználók idővel:

• kevésbé olvassák el a figyelmeztetéseket;
• automatikusan kattintanak;
• megbíznak a megszokott felületben;
• nem vizsgálják meg a művelet pontos tartalmát.

Ezt a jelenséget approval fatigue vagy consent fatigue néven ismerik.

Az „Act without asking” jelentősen növeli a veszélyt

A kockázat lényegesen nagyobb, ha a felhasználó engedélyezte az „Act without asking” funkciót.

Ebben a módban a Claude bizonyos támogatott műveleteket további megerősítés nélkül hajthat végre.

A Manifold szerint ilyenkor a támadó bővítmény által mesterségesen aktivált workflow csendben lefuthat, anélkül, hogy a felhasználó külön jóváhagyási kérelmet látna.

A kutatók ezért eltérő CVSS-pontszámot rendeltek a problémához:

• alapértelmezett jóváhagyási beállítások mellett: 7,7;
• automatikus végrehajtás mellett: 9,6.

Ezek a pontszámok a Manifold Security saját értékelései, nem az Anthropic hivatalos besorolásai.

Egy második architekturális problémát is azonosítottak

A kutatás során a Manifold egy külön belső paramétert is talált:

skipPermissions=true

A beszámoló szerint ez a paraméter a Claude oldalsávjának indításakor privilegizált állapotot eredményezhetett, új felhasználói művelet vagy hozzájárulás nélkül.

A kutatók ezt architekturális gyengeségként értékelték.

A paraméter azonban önmagában nem használható ki közvetlenül.

A támadónak egy másik sérülékenységre lenne szüksége, amely lehetővé teszi:

• egy speciálisan kialakított belső extension URL létrehozását;
• a megfelelő paraméterrel ellátott oldal betöltését;
• vagy a privilegizált indítási folyamat manipulálását.

Ezért a skipPermissions megállapítás nem azonos súlyú a mesterséges kattintással kihasználható hibával.

A második probléma egy későbbi támadási lánc része lehet

A skipPermissions=true paraméter inkább potenciális támadási építőelemnek tekinthető.

Egy másik URL-kezelési vagy navigációs sérülékenységgel együtt lehetővé tehetné:

• a jóváhagyási folyamat megkerülését;
• privilegizált Claude-oldalsáv indítását;
• csendes végrehajtási útvonal létrehozását.

Önmagában azonban a kutatók sem mutattak be közvetlenül kihasználható támadást.

A kutatók szerint a legújabb tesztelt verzió is érintett

A Manifold eredetileg a Claude for Chrome 1.0.72-es verzióját vizsgálta.

Később az 1.0.80-as kiadáson is újratesztelték a problémát.

Ez a verzió 2026. július 7-én jelent meg.

A kutatók állítása szerint:

• az érintett content script változatlan maradt;
• az oldalsáv eseménykezelője sem módosult;
• a hiba továbbra is reprodukálható volt;
• a viselkedés több Claude-modellel is fennállt.

Ez arra utal, hogy a probléma nem a mögöttes nyelvi modellhez kapcsolódik.

A sérülékenység a Chrome-bővítmény:

• eseménykezelésében;
• jogosultsági architektúrájában;
• böngésző és AI közötti biztonsági határában

található.

A Claude-modell lecserélése vagy más modell kiválasztása ezért nem oldja meg a problémát.

Nincs nyilvános Anthropic-biztonsági közlemény

A kutatók mindkét megállapítást beküldték az Anthropic bug bounty programjába.

A Manifold beszámolója szerint:

• a mesterséges kattintással kapcsolatos jelentést lezárták, mert az Anthropic már egy szélesebb probléma részeként kezelte;
• a skipPermissions jelentést információs besorolással zárták le.

A nyilvánosságra hozott információk azonban a Manifold közléséből származnak.

A kutatás publikálásakor nem jelent meg:

• külön Anthropic biztonsági közlemény;
• hivatalos CVE-azonosító;
• nyilvános javítási értesítés;
• hivatalos kompromittálódási indikátor;
• részletes felhasználói mitigációs útmutató.

Mit tehetnek a Claude for Chrome felhasználói?

Amíg nem érkezik megerősített javítás, a felhasználóknak érdemes felülvizsgálniuk az összes telepített Chrome-bővítményt.

Elsősorban azokat kell ellenőrizni, amelyek:

• minden weboldalhoz hozzáférést kérnek;
• olvashatják és módosíthatják a meglátogatott oldalak tartalmát;
• a claude.ai domainen futtathatnak kódot;
• ismeretlen fejlesztőtől származnak;
• régóta nem kaptak frissítést;
• már nem szükségesek;
• tulajdonosváltáson mentek keresztül;
• túlzott jogosultságokat igényelnek.

A fölösleges, ismeretlen vagy nem megbízható bővítményeket el kell távolítani.

Korlátozni kell a bővítmények webhely-hozzáférését

A Chrome beállításaiban módosítható, hogy egy bővítmény milyen webhelyeken futhasson.

Ahol lehetséges, a hozzáférést:

• csak meghatározott oldalakra;
• csak a ténylegesen szükséges domainekre;
• vagy manuális felhasználói kattintáshoz

kell kötni.

Kerülendő a „minden webhelyen” típusú jogosultság, ha arra nincs valódi működési szükség.

Különösen indokolt korlátozni minden olyan kiegészítőt, amely a Claude oldalához is hozzáférhet.

Érdemes kikapcsolni az automatikus végrehajtást

A Claude for Chrome felhasználóinak célszerű kikapcsolniuk az „Act without asking” funkciót, különösen akkor, ha a böngészőprofil:

• vállalati Gmailhez;
• üzleti Google Dokumentumokhoz;
• naptárhoz;
• Salesforce-hoz;
• ügyféladatokhoz;
• bizalmas munkafolyamatokhoz;
• pénzügyi vagy jogi dokumentumokhoz

kapcsolódik.

A további jóváhagyási lépés nem jelent tökéletes védelmet, de csökkentheti annak esélyét, hogy egy workflow teljesen észrevétlenül fusson le.

A váratlan engedélykéréseket el kell utasítani

Különösen gyanús lehet minden olyan Claude-jóváhagyási kérés, amely váratlanul az alábbi szolgáltatásokhoz kapcsolódik:

• Gmail;
• Google Dokumentumok;
• Google Naptár;
• Salesforce;
• DoorDash;
• Zillow.

Ha a felhasználó nem maga indította a műveletet, a kérést el kell utasítani.

Ezt követően javasolt:

• átvizsgálni a telepített bővítményeket;
• ellenőrizni a bővítmények webhelyengedélyeit;
• átnézni a Claude kapcsolódó integrációit;
• ellenőrizni a külső szolgáltatások aktivitási naplóit;
• szükség esetén kijelentkezni az érintett munkamenetekből.

Vállalati környezetben központi bővítményleltár szükséges

A szervezeteknek célszerű központilag nyilvántartaniuk a menedzselt Chrome-böngészőkben telepített bővítményeket.

A vizsgálatnak ki kell terjednie:

• a bővítmény azonosítójára;
• fejlesztőjére;
• verziójára;
• kért jogosultságaira;
• engedélyezett domainekre;
• frissítési előzményeire;
• üzleti indokoltságára;
• használati gyakoriságára.

Kiemelten ellenőrizendők azok a bővítmények, amelyek:

• content scriptet futtathatnak a Claude oldalán;
• debugger jogosultságot használnak;
• minden weboldal tartalmát olvashatják;
• tetszőleges kódot injektálhatnak;
• nem szerepelnek a vállalati engedélyezési listán.

Bővítményengedélyezési lista alkalmazása javasolt

Vállalati eszközökön célszerű csak előzetesen ellenőrzött és engedélyezett Chrome-bővítmények telepítését lehetővé tenni.

Egy megfelelő extension allowlist:

• blokkolhatja az ismeretlen bővítményeket;
• csökkentheti a supply chain kockázatot;
• megakadályozhatja a túlzott host permissionök használatát;
• egyszerűbbé teheti az incidensvizsgálatot;
• gyorsíthatja a veszélyes kiegészítők központi eltávolítását.

A szervezeteknek a már engedélyezett bővítményeket is rendszeresen újra kell értékelniük, mivel azok tulajdonosa, működése vagy jogosultságigénye idővel megváltozhat.

Az AI-böngészőügynökök új biztonsági problémát teremtenek

A jelentés egy szélesebb kiberbiztonsági kihívásra is rámutat.

Az agentic AI-rendszerek egyszerre rendelkeznek:

• weboldal-hozzáféréssel;
• a felhasználó meglévő bejelentkezett munkameneteivel;
• automatizált döntéshozatali képességgel;
• több szolgáltatáson átívelő műveleti lehetőségekkel;
• érzékeny üzleti adatokhoz való hozzáféréssel.

Ez azt jelenti, hogy egy korábban alacsony jelentőségű felületi esemény magas jogosultságú műveletsort indíthat el.

A fejlesztőknek ezért a felhasználói szándékot nem pusztán egy kattintási esemény megléte alapján kell ellenőrizniük.

Milyen biztonsági kontrollokra van szükség?

Az AI-alapú böngészőbővítmények védelméhez több egymásra épülő kontroll szükséges.

Ilyen lehet:

• az event.isTrusted kötelező ellenőrzése;
• a content scriptektől érkező adatok szigorú validálása;
• hitelesített üzenetküldés a bővítmény komponensei között;
• egyszer használható műveleti tokenek;
• a workflow-indítás eredetének ellenőrzése;
• szűken meghatározott host permissionök;
• magas kockázatú műveletekhez erős felhasználói megerősítés;
• külső bővítmények által nem manipulálható jóváhagyási felület;
• részletes naplózás;
• gyanús workflow-indítások detektálása;
• jogosultságok rendszeres felülvizsgálata.

A több webhelyet érintő műveleteknél érdemes az egyes kritikus lépéseket külön is megerősíteni, nem pedig egyetlen kezdeti kattintást a teljes munkafolyamat engedélyeként kezelni.

Összegzés

A Manifold Security kutatása szerint a Claude for Chrome bővítmény nem ellenőrizte megfelelően, hogy egy workflow-t valódi felhasználói kattintás vagy JavaScript által generált mesterséges esemény indított-e el.

A sérülékenység kihasználásához egy külön rosszindulatú vagy kompromittált Chrome-bővítmény szükséges, amely jogosultsággal rendelkezik a claude.ai oldal tartalmának módosítására.

A támadó nem küldhet tetszőleges promptot, de aktiválhatja a Claude for Chrome kilenc előre meghatározott feladatának egyikét.

Ezek között olyan workflow-k is találhatók, amelyek:

• Gmail-üzeneteket olvasnak;
• Google Dokumentumokat és megjegyzéseket vizsgálnak;
• naptárbejegyzéseket kezelnek;
• Salesforce-adatokat módosítanak.

A kockázat különösen magas lehet az „Act without asking” mód használatakor, mert az AI bizonyos műveleteket további megerősítés nélkül hajthat végre.

A felhasználóknak érdemes eltávolítaniuk a szükségtelen Chrome-bővítményeket, korlátozniuk azok webhely-hozzáférését, kikapcsolniuk az automatikus AI-végrehajtást, és kivizsgálniuk minden váratlan Claude-jóváhagyási kérelmet.

A probléma egyben arra is figyelmeztet, hogy az AI-alapú böngészőügynököknél a valódi felhasználói szándék hitelesítése alapvető biztonsági követelménnyé vált.