Inyección XSS sin clics a través de cualquier sitio web
Investigadores de ciberseguridad han descubierto una vulnerabilidad en la extensión Claude de Google Chrome, desarrollada por Anthropic, que podría haber sido explotada para activar mensajes maliciosos simplemente visitando una página web.
Según explicó en un informe Oren Yomtov, investigador de Koi Security, la vulnerabilidad "permitía que cualquier sitio web insertara silenciosamente mensajes en el asistente como si el usuario los hubiera escrito". "Sin clics, sin solicitudes de permiso. Bastaba con visitar una página para que un atacante controlara completamente el navegador".
El problema, cuyo nombre en clave es ShadowPrompt, encadena dos fallos subyacentes:
• Una lista de permisos de origen demasiado permisiva en la extensión permitía que cualquier subdominio que coincidiera con el patrón (*.claude.ai) enviara una solicitud a Claude para su ejecución.
• Una vulnerabilidad de secuencias de comandos entre sitios (XSS) basada en el modelo de objetos de documento (DOM) en un componente CAPTCHA de Arkose Labs alojado en "a-cdn.claude[.]ai".
En concreto, la vulnerabilidad XSS permite la ejecución de código JavaScript arbitrario en el contexto de "a-cdn.claude[.]ai". Un atacante podría aprovechar este comportamiento para inyectar código JavaScript que envíe una solicitud a la extensión Claude.
Por su parte, la extensión permite que la solicitud aparezca en la barra lateral de Claude como si fuera una petición legítima del usuario, simplemente porque proviene de un dominio incluido en la lista de permitidos.
"La página del atacante inserta el componente vulnerable de Arkose en un <iframe> oculto, envía la carga útil XSS a través de postMessage y el script inyectado activa la solicitud a la extensión", explicó Yomtov. "La víctima no ve nada".
La explotación exitosa de esta vulnerabilidad podría permitir al adversario robar datos confidenciales (por ejemplo, tokens de acceso), acceder al historial de conversaciones con el agente de IA e incluso realizar acciones en nombre de la víctima (por ejemplo, enviar correos electrónicos suplantando su identidad o solicitar datos confidenciales).
Tras la divulgación responsable del incidente el 27 de diciembre de 2025, Anthropic implementó un parche en la extensión de Chrome (versión 1.0.41) que impone una verificación de origen estricta que requiere una coincidencia exacta con el dominio "claude[.]ai". Arkose Labs corrigió la vulnerabilidad XSS en su sistema el 19 de febrero de 2026.
"Cuanto más capaces se vuelven los asistentes de navegador con IA, más valiosos resultan como objetivos de ataque", afirmó Koi. "Una extensión que puede navegar por tu navegador, leer tus credenciales y enviar correos electrónicos en tu nombre es un agente autónomo. Y la seguridad de ese agente es tan fuerte como el origen más débil en su perímetro de confianza".
