- عيوب امتداد كلود من الأنثروبيك تسمح بضغطات مزيفة لإطلاق عمليات العمل الحساسة للذكاء الاصطناعي
- وجد الباحثون معالجات ضعيفة لم تتغير عبر ثمانية تحديثات للامتداد
- تخطت النقرات الاصطناعية الفحوصات المصممة لتأكيد أفعال المستخدمين الحقيقيين
زعمت أبحاث الأمن في مانيفولد سيكيورتي أن امتداد كلود الخاص بأنثروبيك لـ متصفح كروم يحتوي على ثغرتين غير مصححتين في الإصدار 1.0.80، الذي تم إصداره في 7 يوليو 2026.
وفقًا لـ مانيفولد سيكيورتي، أبلغت أولاً عن كلا الثغرتين إلى أنثروبيك من خلال برنامج مكافآت الأخطاء الخاص بالشركة في 21 مايو 2026، وتلقت اعترافًا في اليوم التالي.
تسمح الثغرة الأولى لأي امتداد متصفح بتحفيز تسعة عمليات عمل محددة مسبقًا في كلود عن طريق محاكاة نقرة مستخدم اصطناعية على claude.ai.
تسعة عمليات عمل وإحدى الفحوصات المفقودة
وجد الباحث Ax Sharma أن الامتداد لم يتحقق أبداً مما إذا كانت حدث النقر يحمل خاصية Event.isTrusted قبل التصرف بناءً عليها.
تحت الإعدادات الافتراضية، تلقت الثغرة درجة CVSS تبلغ 7.7 عالية، وزادت إلى 9.6 حرجة عندما قام المستخدمون بتمكين التنفيذ التلقائي لأن كلود كان يمكنه تنفيذ الإجراءات دون الموافقة.
تشمل المهام التسعة التي تم ترميزها مسبقًا قراءة البريد الإلكتروني في Gmail، وفتح مستندات Google، والتحقق من تقويم Google، وتعديل عملاء Salesforce دون الطلب.
لأن المتصفح يعتبر النقرات الاصطناعية كغير موثوقة، كان ينبغي على الامتداد رفضها ولكنه نفذ العملية على أي حال.
أكدت مانيفولد سيكيورتي في 7 يوليو 2026 أن كلا الثغرتين لا تزال تعملان ضد الإصدار 1.0.80، بعد أشهر من الإبلاغ عنهما لأول مرة إلى أنثروبيك.
أصدرت أنثروبيك ثمانية إصدارات منفصلة بين 1.0.73 و1.0.80 دون تغيير المعالجات المحددة التي كان الباحثون قد تم الإشارة إليها مسبقًا باعتبارها ضعيفة.
أغلقت الشركة تقرير النقر الاصطناعي، قائلة إن تقريرًا داخليًا قائمًا بالفعل يتتبع المشكلة الأوسع المتعلقة بحدود الثقة التي وصفها الباحثون بالتفصيل.
ومع ذلك، يعتقد شارما أن الإصلاح يتطلب سطرًا إضافيًا واحدًا من الشيفرة للتحقق من خاصية isTrusted لحدث النقر قبل السماح للعملية بالاستمرار.
ثغرة هيكلية ثانية
تشمل الثغرة الثانية معلمة عنوان URL جانبية تعرف بـ skipPermissions، والتي يمكن أن تُفعل وضعًا مميزًا بدون أي طلب موافقة.
عندما يتم تعيين المعلمة إلى true، يبدأ اللوحة في تخطي فحوصات الأذونات تمامًا، مما يسمح لكلود بالتصرف دون سؤال المستخدم أولاً.
تشير مانيفولد إلى أن وظيفة المهام المجدولة الخاصة بأنثروبيك هي الوحيدة التي من المفترض أن تبني هذا النوع من عنوان URL المميز داخليًا في الوقت الحالي.
ومع ذلك، يكرم اللوحة تلك المعلمة بغض النظر عن أي برنامج نصي أو صفحة أنشأت بالفعل سلسلة عنوان URL الأصلية في الممارسة العملية.
تسمح مهمة واحدة لكلود بقراءة صندوق البريد الإلكتروني الخاص بالمستخدم، وتحديد الرسائل الترويجية، والنقر تلقائيًا على روابط إلغاء الاشتراك داخلها.
تحذر مانيفولد من أن “التجاوز لا يزال يتكون من ستة أسطر من JavaScript”، بعد أشهر من إشارة الباحثين إلى المشكلة الأساسية لأول مرة إلى أنثروبيك.
صنفت أنثروبيك هذه النتيجة الثانية على أنها معلوماتية، موضحة أن المعلمة يتم بناؤها فقط بواسطة أنظمتها الداخلية الخاصة.
قالت مانيفولد إن كود المحتوى وكود اللوحة الجانبية المرتبطين بكلتا الثغرتين ظل متطابقًا على مستوى البايت عبر ثمانية إصدارات لاحقة من الإشعارات التي تم فحصها بعد التقرير الأصلي.
تم تكاثر العيوب أيضًا عبر اختيارات نموذج لوحة جانبية كلود “أوبوس” و”سونيت” و”فابل”، مما يدل على أن المشكلة أثرت على تصميم أمان الامتداد بدلاً من نماذج الذكاء الاصطناعي الأساسية.
ربط التقرير أيضًا النتائج بمخاوف OWASP المتعلقة بـ LLM01: حقن الاستعلامات و LLM06: مخاطر الوكالة المفرطة في تطبيقات الذكاء الاصطناعي.
لاحظ الباحثون أن إساءة استخدام تتضمن أدوات الذكاء الاصطناعي قد تظل صعبة الاكتشاف لأن نشاط المتصفح العادي والاتصالات الشبكية قد تبدو غير متغيرة بينما تحدث إجراءات الذكاء الاصطناعي غير المصرح بها.
