Foto di Brecht Corbeel.

Un difetto nella versione 1.0.80 dell'estensione Claude per Chrome può consentire a un'estensione malevola di attivare azioni IA privilegiate, simulando i clic dell'utente. La falla, individuata da Manifold Security, permette a componenti terzi di sfruttare i flussi di lavoro integrati dell'estensione per accedere a Gmail, Google Docs, Google Calendar e altri servizi collegati, senza che l'utente compia alcuna azione reale. La vulnerabilità nasce dal modo in cui Claude per Chrome verifica l'intenzionalità dell'interazione. L'estensione si mette in ascolto dei clic del mouse su elementi specifici della pagina, associati a nove task predefiniti. Tuttavia, non controlla la proprietà Event.isTrusted del browser, che distingue un clic reale da uno generato via JavaScript. Un'estensione con permessi sul dominio claude.ai può quindi creare un elemento con un task ID valido e inviare un clic sintetico, che Claude interpreta come genuino.

I task disponibili includono operazioni delicate: lettura delle email recenti, identificazione dei messaggi promozionali e disiscrizione automatica; apertura dell'ultimo documento Google con lettura dei commenti; analisi del calendario, ricerca di slot liberi e creazione di appuntamenti. L'attacco non consente prompt arbitrari, ma sfrutta esclusivamente questi nove compiti integrati. La falla è già stata segnalata a maggio 2026, ma secondo Manifold Security rimane sfruttabile anche dopo otto versioni successive dell'estensione. Il codice responsabile del controllo dei clic risulta «identico byte per byte» a quello delle versioni precedenti, nonostante la segnalazione fosse stata contrassegnata come risolta. La riproducibilità dell'attacco è confermata anche da analisi indipendenti condotte su build recenti.

In configurazione predefinita, Claude per Chrome mostra una finestra di conferma prima di eseguire azioni sensibili. Tuttavia, se l'utente ha attivato la modalità Agisci senza chiedere (Act without asking), l'estensione procede senza richiedere approvazioni, aumentando significativamente il rischio di accessi non autorizzati ai dati personali. Questa modalità può essere attivata anche tramite un parametro URL del pannello laterale, evidenziando un ulteriore punto debole nella gestione dei privilegi. Il problema non riguarda solo la simulazione dei clic. La struttura di fiducia dell'estensione si basa sull'origine claude.ai, senza verificare il contesto di esecuzione. Ciò significa che qualsiasi script in esecuzione su quel dominio può inviare comandi privilegiati all'estensione. Questo meccanismo è stato già al centro della precedente vulnerabilità ClaudeBleed, che permetteva a estensioni con zero permessi di impartire comandi all'agente IA.

Il rischio è amplificato dal fatto che Claude per Chrome è un'estensione ad alto privilegio, con accesso ai servizi Google Workspace. La combinazione di permessi elevati e controlli insufficienti sull'origine delle interazioni crea un vettore di attacco particolarmente critico, soprattutto in contesti aziendali dove l'estensione può operare su dati sensibili. Le raccomandazioni degli esperti convergono su alcune misure immediate: disattivare la modalità Act without asking, ridurre il numero di estensioni installate, rimuovere quelle non necessarie e limitare l'accesso dell'assistente IA ai servizi più sensibili. Finché Anthropic non rilascerà una correzione strutturale, l'estensione rimane vulnerabile a interazioni sintetiche che possono attivare azioni privilegiate.

Proposte di lettura:

L'IA scopre oltre 1.000 falle in Chrome; Google valuta patch due volte a set...

Claude accede ai siti con 1Password, ma senza vedere mai le credenziali

Le promesse dei tech-bro in un bagno di realtà

Claude Fable 5 porta il modello di Anthropic al grande pubblico

La vicenda evidenzia un problema più ampio nella progettazione degli agenti IA integrati nel browser: i meccanismi che stabiliscono «l'utente ha richiesto questa azione» risultano più deboli dei privilegi concessi all'agente una volta che l'azione è avviata. La discrepanza tra fiducia e verifica rappresenta un rischio crescente per gli strumenti IA con accesso diretto ai servizi cloud personali e aziendali.

Spunti di approfondimento:

L'IA di Anthropic arriva a Milano e attira 65 miliardi di investimenti

L'IA di Anthropic trova troppi bug: gli sviluppatori non riescono a starle d...

Chrome, arrivano le Skill

Claude entra in Word: gestisce revisioni, formattazione e analisi dei documenti