Anthropic'in popüler yapay zeka asistanı Claude'un Chrome eklentisinde keşfedilen iki kritik güvenlik açığı, aylardır düzeltilmemesi nedeniyle kullanıcıları risk altında bırakıyor. Manifold Security tarafından yapılan araştırmaya göre, bu açıklar kötü niyetli bir tarayıcı uzantısının, Claude'u kullanarak kullanıcının Gmail mesajlarını, Google Dokümanlar içeriğini ve Google Takvim etkinliklerini okumasına olanak tanıyor. Araştırmacılar, sorunların Mayıs ayında raporlanmasına rağmen henüz giderilmediğini ve 1.0.80 sürümünde (7 Temmuz) hâlâ istismar edilebildiğini belirtiyor.
Güvenlik açıkları, Claude eklentisinin tarayıcı içinde yüksek ayrıcalıklarla çalışmasından kaynaklanıyor. Eklenti, Google hizmetlerine erişim izni almak için OAuth kullanıyor ve bu izinleri aldıktan sonra, diğer Chrome uzantılarının bu izinleri kötüye kullanmasını engelleyecek yeterli korumaya sahip değil. Manifold Security araştırmacıları, bu zafiyetin bir saldırganın, kullanıcının farkında olmadan Claude üzerinden hassas verilere ulaşmasını sağlayabileceğini vurguluyor.
Araştırmacılar, konuyla ilgili blog yazılarında, "Bu açıklar, kötü niyetli bir Chrome uzantısının, Claude eklentisini kullanarak kullanıcının Gmail, Google Dokümanlar ve Takvim verilerine erişmesine olanak tanıyor. Bu, yalnızca kullanıcının gizliliğini ihlal etmekle kalmıyor, aynı zamanda kurumsal ortamlarda ciddi veri sızıntılarına da yol açabilir" ifadelerine yer verdi.
Önemli Gelişmeler
Güvenlik açıkları, Claude eklentisinin diğer uzantılarla etkileşiminde yeterli izolasyon sağlamamasından kaynaklanıyor. Normalde, bir Chrome uzantısının diğer uzantıların verilerine veya ayrıcalıklarına erişmemesi gerekir. Ancak Claude eklentisi, diğer uzantıların kendi API'sine istek göndermesine izin veren bir mekanizma içeriyor. Bu mekanizma, kötü niyetli bir uzantı tarafından kullanıcı adına Claude'a komut göndermek için istismar edilebiliyor.
Manifold Security, bu açıkları ilk olarak Mayıs 2024'te Anthropic'e bildirdi. Ancak şirket, sekiz güncelleme yayınlamasına rağmen sorunları henüz gidermedi. Bu durum, kullanıcıların aylardır potansiyel bir saldırıya açık olduğu anlamına geliyor. Araştırmacılar, kullanıcıların bu süre zarfında Claude eklentisini kullanmaktan kaçınmalarını veya en azından diğer Chrome uzantılarını dikkatli seçmelerini öneriyor.
Detaylar ve Etkileri
Bu güvenlik açıkları, yapay zeka asistanlarının tarayıcı eklentileri olarak kullanımının getirdiği riskleri bir kez daha gözler önüne seriyor. Kullanıcıların, bu tür eklentilere geniş izinler verirken dikkatli olmaları ve güvenlik güncellemelerini yakından takip etmeleri önem taşıyor. Ayrıca, kurumsal kullanıcıların bu tür risklere karşı ek güvenlik önlemleri alması gerekebilir. Anthropic'in sorunu ne zaman düzelteceği ise henüz bilinmiyor.
Kaynak: csoonline.com
