Basta un'altra estensione del browser capace di eseguire uno script su claude.ai per dirottare Claude for Chrome e farle leggere la Gmail dell'utente, l'ultimo Google Doc con i relativi commenti e il calendario. La falla � stata segnalata da Manifold Security a fine maggio e a met� luglio resta aperta: nella versione corrente dell'estensione, la 1.0.80, il meccanismo � ancora presente. A fine aprile la vulnerabilit� battezzata ClaudeBleed aveva mostrato che l'estensione si fidava dell'origine claude.ai invece di controllare quale script le stesse effettivamente parlando, e permetteva di pilotare l'assistente da un'estensione priva di permessi. La contromisura di Anthropic, a maggio, era stata chiudere la strada del prompt arbitrario e rinchiudere i chiamanti esterni in un elenco fisso di compiti. � un miglioramento reale poich� in questo modo la pagina non pu� pi� "mettere parole in bocca" a Claude. Il punto debole si � spostato su ci� che fa scattare il grilletto. Il clic falsificato che nessuno controlla Uno script di contenuto dell'estensione resta in ascolto su claude.ai di un clic su un elemento preciso, #claude-onboarding-button, ne legge l'attributo data-task-id e, se l'identificativo � uno dei nove compiti in whitelist, invia all'estensione il messaggio open_side_panel con quel compito. Il pannello si apre con il prompt corrispondente gi� caricato. Quello che il gestore non verifica mai � event.isTrusted, il flag con cui il browser distingue un clic vero da uno generato via software. Di conseguenza qualunque estensione il cui script possa raggiungere il DOM su claude.ai pu� costruire l'elemento, impostare l'identificativo del compito e simulare il clic, che l'estensione considera come fosse un tocco "genuino". Manifold ha dimostrato l'attacco con sei righe incollate nella console di claude.ai, con isTrusted: false nei log a confermare che il clic fasullo veniva accettato. I nove compiti ammessi sono in parte innocui: tre prove di onboarding, tre che pilotano DoorDash, Salesforce e Zillow. Gli ultimi tre, usecase-gmail, usecase-gdocs e usecase-calendar, sono esattamente quelli che leggono posta, documento pi� recente con i commenti e calendario. Nella modalit� predefinita, quella che chiede conferma prima di agire, tra il clic falsificato e la lettura effettiva resta una finestra di approvazione da cliccare: Manifold assegna in questo scenario un punteggio CVSS 7.7, "alto". Con l'automazione senza conferma attiva, lo stesso compito parte in silenzio e il punteggio sale a 9.6, "critico". La seconda falla e i due mesi di silenzio Sotto la prima ne siede una seconda, per ora non raggiungibile da remoto ma pronta a togliere il passaggio di approvazione se un domani venisse esposta. Quando il pannello laterale viene caricato con il parametro skipPermissions=true nell'URL, parte direttamente in modalit� skip_all_permission_checks e comincia ad agire senza chiedere nulla. Un banner rosso avverte che Claude pu� ormai compiere quasi tutte le azioni online, ma compare solo dopo che la sessione privilegiata � gi� in corso: dice cosa � successo, non impedisce che succeda. Oggi quell'URL pu� costruirlo solo l'estensione stessa, quindi non c'� una via d'accesso diretta; un futuro errore che lasciasse impostare quel parametro a un contesto meno privilegiato trasformerebbe per� il clic falsificato in una lettura completamente silenziosa dell'account. Manifold ha segnalato entrambi i problemi il 21 maggio sulla versione 1.0.72. Anthropic li ha riconosciuti il giorno dopo e poi chiusi: il clic falsificato perch� il problema di confine di fiducia era gi� tracciato sotto la segnalazione di ClaudeBleed, che l'azienda ha detto "resta aperta in attesa di una correzione completa"; l'URL come "informativo", sostenendo che quel parametro viene impostato solo dall'estensione, per compiti che l'utente ha gi� scelto di far eseguire senza sorveglianza. Eppure la segnalazione interna che avrebbe dovuto coprire la correzione risulta marcata come risolta prima del 9 giugno, e otto versioni pi� tardi il codice non si � mosso: il 7 luglio Manifold ha verificato che nella 1.0.80 il gestore del clic e l'inizializzazione del pannello sono identici byte per byte alla 1.0.72. Entrambi i problemi si riproducono a prescindere dal modello caricato nel pannello, sia Opus, sia Sonnet, sia Fable: il difetto � quindi nell'estensione e non riguarda un modello specifico. Nel frattempo l'unica difesa concreta � disattivare l'automazione senza conferma e passare al setaccio le estensioni con il permesso di leggere o modificare i dati su claude.ai. Il passaggio di approvazione torna al suo posto, ma la strada del clic falsificato resta aperta, e una patch, al 14 luglio, non esiste. Anthropic continua a definire l'estensione una beta, aperta per� a tutti gli abbonati paganti di Claude.