Claude for Chrome の 2 件の脆弱性：Gmail／Google Docs／Google Calendar への不正アクセス

Claude for Chrome Vulnerability Lets Attackers Read Gmail, Docs, and Calendar Data

2026/07/14 CyberSecurityNews — Anthropic の Chrome ブラウザ・エクステンション Claude for Chrome に、2 件の未修正の脆弱性が残存することが判明した。これらの脆弱性を悪用する攻撃者は、わずか 6 行の JavaScript を使用するだけで、被害者の Gmail／Google Docs／Google Calendar のデータを読み取ることが可能になる。また、8 回のリリースを経た最新バージョン v1.0.80 においても、これらの脆弱性は依然として修正されていない。これらの問題は2026年5月の時点で Manifold の研究者により報告されたが、2026年7月7日にリリースされた最新バージョン v1.0.80 においても、両方の脆弱性が再現可能であることが確認されている。

Claude for Chrome の脆弱性

1 件目の脆弱性は、Claude のコンテンツ・スクリプトに存在する。このスクリプトは、特定のオンボーディング・ボタンへのクリックを監視して、一致するプロンプトを Claude のサイド・パネルへ転送する。しかし、このクリック操作が、本当にユーザーにより引き起こされたことを示す event.isTrusted が、ハンドラにより一切確認されないという問題がある。

claude.ai へのスクリプト・アクセス権限は一般的なものであるため、その権限を持つ他のブラウザ・エクステンションであれば、わずか 6 行の JavaScript によりクリックを偽装できる。つまり、ユーザーに気付かれることなく、Claude に 9 個のハードコードされたプロンプトのいずれかを実行させることが可能になる。

これらのプロンプトは無害なデモではなく、そのうち 3 つは Claude に対して以下の操作を実行するよう指示するものだ。

  • Gmail を読み取り、メールを操作する (例：配信停止リンクをクリックする)。
  • ユーザーの最新の Google Docs を開き、すべてのコメントを読み取る。
  • Google Calendar をスキャンし、会議を作成する。

Claude のデフォルト設定である “Ask before acting” モードでは、ユーザーに対して承認ポップアップが表示される。しかし、”Act without asking” が有効化されている場合には、それらの操作はユーザーに通知されずに実行される。この脆弱性の CVSS スコアは 9.6 であり、Critical と評価されている。

Full attack chain (Source: Manifold)

2 件目の問題は構造的なものであり、Claude のサイド・パネルは “?skipPermissions=true” を含む URL を読み込むたびに、ユーザーの操作を一切必要とせずに、特権モードの不正な有効化へと移行する。警告バナーは表示されるが、特権モードが有効化された後の表示であり、保護機能というものではなく、単なる通知に過ぎない。

現時点では、この URL を構築できるのはエクステンション自体のみであるため、他から悪用されることはないが、研究者たちは “時限爆弾” であると警告している。将来的に、新たなメッセージ・ハンドラのバグ／XSS の脆弱性／外部コードなどが生じて、この URL を構築するための回帰が発生した場合には、ユーザーに通知されることなく、アカウント全体への完全なアクセス権が即座に与えられる可能性がある。

この 2つの脆弱性は、OWASP Top 10 for LLM Applications の AI セキュリティ・リスクとして記載される、プロンプト・インジェクション (LLM01) ／過剰な権限委任 (LLM06) に該当すると認識されている。

提案されている修正は、クリック・イベントによる isTrusted の確認／URL ベースの権限モードの排除という、単純なものである。しかし、Anthropic は、6月9日以前における追跡チケットを “Resolved” とマークしている一方で、いずれの修正も実装していない。

Anthropic は、2 件の脆弱性に関する報告を直ちに確認したが、クローズしてしまった。1 件目のクリック偽装の問題については、既存の内部報告で対応済みであると主張している。また、2件目の URL パラメータの問題については、外部から悪用される恐れはないとしている。

7月7日に、Manifold の研究者 Ax Sharma は、問題とされるコードが、当初に報告されたバージョンとバイト単位で同一であることを再確認している。このパターンは、発表された修正が後に不完全であると判明した、ClaudeBleed インシデントを想起させるものである。また、AI ブラウザ・エクステンションにおいて、サードパーティ・スクリプトと特権付きエージェント・アクションとの信頼境界が、どのように扱われているのかという、新たな疑問を提起している。

訳者後書：今回の問題の原因は、プログラムの基本的な検証不足と構造的な設計にあります。1 つ目の問題は、画面上のクリック操作を検知する際に、それがプログラムにより偽装されたものではなく、人間の手で実際に行われた正しい操作 (isTrusted) であるかを確認していないことに起因します。2 つ目は、特定のパラメータを含む URL を読み込むだけで、同意を必要としない特権モードへ移行してしまう設計上の仕組みに起因します。このように、外部からの操作や入力を無条件に信頼して受け入れてしまう構造が、深刻な脆弱性を生み出す要因となっています。最新バージョンでも、修正が反映されていないという状況が続いています。