Công an TP Huế vừa cảnh báo hai lỗ hổng bảo mật trên tiện ích Claude for Chrome, cho phép hacker tự động truy cập Gmail và Google Docs người dùng.
Theo nghiên cứu của tổ chức Manifold Research, hai lỗ hổng nghiêm trọng này vẫn tồn tại trên phiên bản tiện ích mới nhất dù đã được báo cáo từ tháng 5/2026.
Lỗ hổng đầu tiên xuất phát từ cách Claude for Chrome xử lý các thao tác nhấp chuột của người dùng. Tiện ích này sử dụng một content script để theo dõi các tương tác trên giao diện và chuyển các lệnh tương ứng tới Claude. Tuy nhiên, thành phần này không kiểm tra thuộc tính event.isTrusted, vốn được trình duyệt sử dụng để phân biệt giữa thao tác do người dùng thực hiện và các sự kiện được tạo ra bằng mã JavaScript. Lỗ hổng này cho phép một tiện ích mở rộng khác có quyền chạy mã trên miền claude.ai giả mạo thao tác người dùng và kích hoạt Claude thực hiện các lệnh được lập trình sẵn. Các nhà nghiên cứu cho biết toàn bộ quá trình khai thác chỉ cần khoảng sáu dòng mã JavaScript.
Theo các nhà nghiên cứu, một số prompt được tích hợp sẵn trong Claude cho phép AI tương tác trực tiếp với Gmail, Google Docs và Google Calendar. Nếu bị kích hoạt trái phép, các prompt này có thể yêu cầu Claude đọc email, truy cập bình luận trong tài liệu hoặc tạo sự kiện mới trên lịch của người dùng.
Trong chế độ mặc định "Ask before acting", người dùng vẫn nhận được yêu cầu xác nhận trước khi Claude truy cập hoặc tương tác với Gmail, Google Docs và Google Calendar. Tuy nhiên, khi tùy chọn "Act without asking" được kích hoạt, các hành động này có thể được thực hiện hoàn toàn tự động mà không xuất hiện thêm bất kỳ cảnh báo nào. Theo Manifold, kịch bản tấn công này được đánh giá ở mức CVSS 9.6.
Lỗ hổng thứ hai liên quan đến cơ chế cấp quyền của Claude thông qua tham số URL skipPermissions=true. Các nhà nghiên cứu phát hiện khi bảng điều khiển của tiện ích được khởi tạo với tham số này, Claude sẽ chuyển sang chế độ hoạt động có đặc quyền cao mà không yêu cầu người dùng xác nhận hoặc cấp quyền lại.
Hiện chưa có dấu hiệu cho thấy lỗ hổng này có thể bị khai thác trực tiếp từ bên ngoài, bởi chỉ tiện ích Claude mới có khả năng tạo URL chứa tham số skipPermissions=true. Tuy nhiên, Manifold cảnh báo đây là một điểm yếu tiềm ẩn nguy hiểm. Chỉ cần xuất hiện thêm một lỗ hổng như XSS, lỗi xử lý thông điệp hoặc sai sót trong cơ chế giao tiếp giữa các thành phần của tiện ích, cơ chế này có thể bị lợi dụng để kích hoạt chế độ đặc quyền và truy cập dữ liệu người dùng mà không cần sự chấp thuận của chủ tài khoản.
Hai lỗ hổng này được xếp vào các nhóm rủi ro LLM01: Prompt Injection và LLM06: Excessive Agency trong OWASP Top 10 for LLM Applications. Đây là những vấn đề thường xuất hiện khi AI có thể bị tác động để thực hiện các hành động ngoài ý muốn hoặc được trao quyền truy cập vượt quá mức cần thiết.
Các lỗ hổng trên vẫn chưa được vá hoàn toàn. Cơ quan chức năng khuyến cáo người dùng nên vô hiệu hóa chế độ tự động thực thi của tiện ích, đồng thời cẩn trọng kiểm soát các quyền truy cập ứng dụng để bảo vệ dữ liệu cá nhân.
Theo Công an Thành phố Huế
Thùy Anh
