Zenity Labs は Anthropic の Claude Chrome 拡張機能に対し、間接プロンプトインジェクションを活用した攻撃チェーンを実証したと発表した。同社は、メール内の悪意あるコンテンツを起点に、任意の JavaScript 実行から Gmail のデータ漏洩、Google Drive へのアクセス権限付与を通じ、外部プラットフォームのアカウント乗っ取りに至るまでの全過程を検証している。
Zenity Labs は Anthropic の Claude Chrome 拡張機能に対する脅威分析を公開した。同拡張機能は DOM 操作やナビゲーションに加え、JavaScript を実行するツールを提供しており、攻撃者がブラウザコンテキスト内で強力なエージェントシステムとして動作できる余地があると指摘していた。
今回の実証では、メール内の隠しテキストや画像に埋め込まれた指示をトリガーとし、Claude に悪意あるコードを実行させる間接プロンプトインジェクションを用いた。被害者が Claude に「最新のメールを要約して」と依頼した際、拡張機能がその内容を処理する過程で注入された命令に従い、アラート表示から攻撃が開始される。
単なるアラートの表示にとどまらず、攻撃者は外部の CDN から npm パッケージを読み込む手法を開発した。このパッケージは本来の UUID 生成関数のように見せかけつつ、内部に複雑なペイロードを隠蔽している。Claude はこの呼び出しを正当なコードとして処理し、任意の JavaScript をブラウザ上で実行可能となる。
データ漏洩の実証では、Gmail の Atom フィードからメールの件名や送信者情報を取得した後、メッセージ ID を用いて本文を抽出し、攻撃者のサーバーへ POST リクエストで転送するスクリプトが動作した。拡張機能はブラウザのセッションクッキーを活用するため、追加の認証なしに被害者の権限でデータへのアクセスが可能となる。
さらに Google Drive における持続性の確保も検証された。拡張機能を通じて Drive の内部 API をリバースエンジニアリングし、ファイル ID を取得して攻撃者アカウントへライター権限を付与するリクエストを一括送信している。これにより、パスワード変更やセッションの無効化後もアクセスが維持される。
最終段階として、Gmail への完全なアクセス権を悪用し、Slack、X、Claude.ai におけるパスワード再設定フローを操作することでアカウント乗っ取りを実現した。攻撃者は自動で確認コードを取得し、被害者の代わりにログイン処理を進めることが可能となる。