「Claude for Chrome」に脆弱性、別の拡張機能からGmailやカレンダーのデータ読み取りが可能に
要点
- Chrome拡張機能「Claude for Chrome」に、同一ブラウザ上の別拡張機能からデータを強制的に読み取らせる脆弱性が存在することが判明した。
- 悪意ある拡張機能が合成クリック（プログラムによる偽のクリック）を発生させることで、Gmailやカレンダーなどの読み取りタスクが勝手に呼び出される。
- 自動実行モードが有効な場合、ユーザーの同意なしにデータが読み取られる恐れがあり、最大深刻度は「緊急（CVSS 9.6）」と評価されている。
- 現時点で修正パッチは提供されておらず、最新バージョン（v1.0.80）でも脆弱性が再現される。
- ユーザー側の回避策として、自動実行設定の無効化や、claude.aiドメインに対する他拡張機能のアクセス権限の見直しが推奨されている。
リード文
AIアシスタント「Claude」の公式Chrome拡張機能である「Claude for Chrome」において、重大なセキュリティ脆弱性が存在することがセキュリティ企業Manifold Securityの調査によって明らかになった。この欠陥が悪用された場合、同じブラウザ内にインストールされている別の悪意ある拡張機能から、ユーザーのGmailやGoogleカレンダーといった個人データを読み取るタスクを強制的に実行させられる危険性があるという。セキュリティメディアの「The Hacker News」が2026年7月14日に報じた。
対策後に残されたセキュリティの「抜け穴」
この脆弱性は、過去に報告された同様の欠陥「ClaudeBleed」への対策後に残された隙を突いたものだという。開発元のAnthropic社は2026年5月、ClaudeBleedへの対策として、外部のウェブページからClaudeに対して任意の指示テキストを直接送信することを制限した。これにより、拡張機能にあらかじめ組み込まれた9つの「固定タスクID」のみを実行可能なホワイトリスト方式へと制限を強化していた。
ホワイトリストには、練習用プロンプトが3つ、DoorDash、Salesforce、Zillowの各サービスを動かすものが3つ、そしてユーザーのGmail（usecase-gmail）、直近のGoogleドキュメントとコメント（usecase-gdocs）、カレンダー（usecase-calendar）の読み取りを行う3つの計9タスクが指定されている。この制限により、外部ページがClaudeに任意の指示を直接入力させることはできなくなっていた。
合成クリックを利用した脆弱性の仕組み
しかし、Manifold Securityの調査員は、このタスクを起動するトリガー部分に重大な欠陥があることを突き止めた。
「Claude for Chrome」のコンテンツスクリプト（拡張機能がウェブページ側で実行するプログラム）は、claude.ai上の特定の要素（#claude-onboarding-button）に対するクリックを検知すると、その要素に設定されたタスクIDを読み取り、サイドパネルを開くメッセージ（open_side_panel）を送信する仕組みになっている。しかし、このイベントハンドラ（処理プログラム）において、ブラウザが提供する安全フラグであるevent.isTrustedが検証されていなかった。
event.isTrustedとは、発生したイベントがユーザー自身の物理的な操作によるものか、あるいはスクリプト（プログラム）によって自動生成されたもの（合成クリック）かを判別するためのブラウザの属性である。この検証が行われないため、claude.aiのDOM（ウェブページの構造データ）にアクセスできる別の拡張機能があれば、偽のボタン要素をプログラムで生成してタスクIDを書き込み、合成クリックイベントを送信するだけで、「Claude for Chrome」に本物のユーザー操作として認識させることが可能になってしまう。
Manifold Securityは、claude.aiのコンソールにわずか6行のコードを流し込むだけで、この偽装クリックが機能し、サイドパネルにGmail読み取りタスクが読み込まれることを実証した。
設定モードによる深刻度の違いと将来のリスク
この脆弱性の危険度は、ユーザーが「Claude for Chrome」に設定している動作モードによって大きく異なる。
デフォルトの「ask before acting（実行前に確認）」モードが有効な場合、偽装されたタスクが読み込まれても、実際にGmailなどのデータ読み取りが行われる前に、ユーザーに対して実行許可を求める承認ダイアログが表示される。ユーザーが誤って承認をクリックしなければ実害は生じない。Manifold Securityはこのモードにおける深刻度を、共通脆弱性評価システム（CVSS。脆弱性の深刻度を評価する標準規格）のスコアで「7.7（高）」と評価している。
一方で、ユーザーが「Act without asking（確認なしで実行）」モードを有効にしている場合、承認画面を経由せずにタスクが即座に実行されてしまう。この状態では、ユーザーが気づかないうちにバックグラウンドでGmailやカレンダーの情報が読み取られるリスクがあり、CVSSスコアは「9.6（緊急）」と非常に高い危険度として評価されている。
さらに調査では、別ルートの潜在的リスクも報告されている。「Claude for Chrome」のサイドパネルが、URLパラメータに ?skipPermissions=true を含んだ状態でロードされると、拡張機能はすべての権限チェックをスキップするモードで起動する仕様になっているという。このモードに入ると、画面上部に警告バナーが表示されるものの、動作自体を止めることはできない。現時点では、このパラメータ付きのURLを生成できるのは拡張機能の内部処理のみだが、将来的に、外部からのパラメータ指定を許してしまう別のバグやクロスサイトスクリプティング（XSS）の脆弱性などが組み合わさった場合、完全にサイレントで個人情報を盗み取られる攻撃へと発展する恐れがあると研究者は警鐘を鳴らしている。
現状の対策と修正案
Manifold Securityは、本脆弱性の修正策として、イベントハンドラの先頭でevent.isTrustedを確認して合成クリックを拒否すること、およびURLパラメータから権限スキップの設定を読み取る仕様を廃止し、サイドパネルは常に確認モードで起動することを提案している。
2026年7月14日の時点で、Anthropic社からこの脆弱性を修正するパッチはリリースされていない。ユーザーが今すぐ取れる自衛策として、研究者は「Act without asking」モードをオフにして常に承認ダイアログを表示させること、およびclaude.aiドメインに対してデータの読み書き権限を持つ他のChrome拡張機能の設定を見直し、信頼できない拡張機能の権限を無効化することを推奨している。なお、この脆弱性は特定の言語モデルに依存するものではなく、OpusやSonnet、Fableなど、どのモデルを選択していても同様に再現することが確認されている。