Popüler yapay zeka asistanı Claude'un Chrome eklentisinde kritik bir güvenlik açığı keşfedildi. Manifold Security tarafından bulunan bu açık, kötü niyetli tarayıcı uzantılarının, kullanıcının Gmail hesabına, Google Dokümanlarına ve Takvim verilerine erişmesine izin veriyor. Sorun, eklentinin 'Act without asking' (sormadan hareket et) özelliği etkinleştirildiğinde daha da kritik hale geliyor. Anthropic, Mayıs ayında bildirilen bu güvenlik açığını kısmen kapatmış olsa da, güncel sürüm olan v1.0.80'de hala mevcut olduğu tespit edildi.
Açığın temelinde, eklentinin kullanıcı tıklamalarını doğrulamaması yatıyor. Claude for Chrome, claude.ai üzerinde belirli bir elemente ( #claude-onboarding-button ) yapılan tıklamaları dinliyor ve bu tıklamanın bir kullanıcı tarafından mı yoksa bir script tarafından mı yapıldığını kontrol etmiyor. event.isTrusted bayrağını kontrol etmeyen eklenti, sahte tıklamaları gerçek kullanıcı tıklamaları olarak kabul ediyor. Bu sayede, başka bir kötü niyetli eklenti, claude.ai üzerinde çalıştırabileceği bir script ile bu elementi oluşturup sahte bir tıklama gönderebiliyor.
Sahte tıklama, eklentinin izin verilen dokuz görevinden birini tetikliyor. Bu görevler arasında Gmail okuma (usecase-gmail), Google Dokümanlar okuma (usecase-gdocs) ve Takvim okuma (usecase-calendar) gibi hassas işlemler bulunuyor. Eklenti, varsayılan ayarlarda sahte tıklama sonrası bir onay kutusu gösteriyor, ancak 'Act without asking' özelliği etkinse işlem hiçbir uyarı olmadan gerçekleşiyor. Manifold Security, bu güvenlik açığını CVSS 7.7 (Yüksek) ve otomatik modda 9.6 (Kritik) olarak derecelendirdi.
Gelecekte Ne Bekleniyor?
Araştırmacılar ayrıca, daha sinsi ikinci bir güvenlik açığı daha keşfetti. Claude'un yan paneli, URL'sinde ?skipPermissions=true parametresi ile yüklendiğinde, tüm izin kontrollerini atlayarak doğrudan işlem yapmaya başlıyor. Bu durumda herhangi bir onay ekranı görüntülenmiyor; sadece işlem başladıktan sonra bir uyarı banner'ı gösteriliyor. Şu anda bu URL'yi yalnızca eklentinin kendisi oluşturabildiğinden, doğrudan bir saldırı mümkün değil. Ancak gelecekteki bir güvenlik açığı, düşük yetkili bir bağlamın bu parametreyi ayarlamasına izin verirse, sahte tıklama saldırısı tamamen sessiz bir hesap okumaya dönüşebilir.
Manifold Security, her iki güvenlik açığını da 21 Mayıs'ta Anthropic'e bildirdi. Anthropic, ertesi gün sorunları kabul etti ve kapattı. Ancak şirket, sahte tıklama raporunu, altta yatan güven sınırı sorununun daha önceki ClaudeBleed raporu altında zaten takip edildiği gerekçesiyle kapattı. URL parametresi raporunu ise, parametrenin yalnızca kullanıcının önceden izin verdiği görevler için eklenti tarafından ayarlandığını belirterek bilgilendirme amaçlı olarak kapattı. Ancak 8 sürüm sonra, güvenlik açığı hala giderilmemiş durumda.
The Hacker News, 7 Temmuz'da güncellenen v1.0.80 sürümünü inceledi ve her iki güvenlik açığının da hala mevcut olduğunu doğruladı. Eklentinin 90 JavaScript paketi incelendiğinde, onboarding tıklama işleyicisinin event.isTrusted kontrolü yapmadığı ve yan panelin skipPermissions parametresini okuyarak izinleri atladığı tespit edildi. Kullanıcılar için en hızlı korunma yöntemi, 'Act without asking' özelliğini kapatmak ve claude.ai üzerinde veri okuyabilen veya değiştirebilen tüm uzantıları gözden geçirmek.
Bu güvenlik açığı, OWASP Top 10 LLM uygulamaları sınıflandırmasına göre dolaylı prompt enjeksiyonu olarak değerlendiriliyor. Saldırgan, eklentinin izin verilen promptlarından birini sahte tıklama ile tetikleyerek, modelin istenmeyen bir eylem gerçekleştirmesini sağlıyor. Sorun, Claude modelinden değil, eklentinin kodundan kaynaklanıyor. Henüz bir CVE numarası atanmamış olsa da, kullanıcıların bu açığa karşı önlem alması önemle tavsiye ediliyor.
Kaynak: thehackernews.com
