Des chercheurs de Manifold Security affirment que l’extension Claude pour Google Chrome (version 1.0.80, publiée le 7 juillet 2026) contient deux vulnérabilités permettant de déclencher des workflows sensibles. Selon eux, un clic synthétique peut lancer des actions prédéfinies sur claude. ai, et un paramètre d’URL, skipPermissions, activerait un mode privilégié sans demande de consentement. Le risque grimpe d’un niveau CVSS 7,7 à 9,6 si l’exécution automatique est activée.
Au centre de l’alerte, une question simple pour l’utilisateur: quand une IA agit dans le navigateur, qui a cliqué et qui a donné l’autorisation?
Manifold Security vise Claude 1.0.80 après un signalement du 21 mai 2026
Manifold Security indique avoir soumis deux signalements via le programme de bug bounty d’Anthropic le 21 mai 2026, avec un accusé de réception dès le lendemain. D’après l’équipe, les mêmes scénarios d’exploitation fonctionnent toujours sur Claude for Chrome 1.0.80, une version publiée le 7 juillet 2026. Entre-temps, Anthropic a diffusé huit mises à jour, de la 1.0.73 à la 1.0.80, sans modifier, selon les chercheurs, les gestionnaires d’événements précisément pointés comme vulnérables.
L’extension est conçue pour faciliter l’exécution de tâches depuis le navigateur, via des workflows préconfigurés. Cette promesse d’automatisation, pratique au quotidien, augmente mécaniquement l’exposition: une action utile peut aussi devenir une action détournable si les contrôles d’intention de l’utilisateur sont insuffisants.
Le premier signalement, centré sur la notion de clic de confiance, a été clôturé côté éditeur, selon Manifold, au motif qu’un rapport interne traiterait déjà un problème plus large de frontière de confiance. Les chercheurs contestent le cadrage, en soulignant qu’un correctif minimal ciblerait précisément la condition manquante dans le traitement du clic.
Ce type de divergence est fréquent dans les dossiers de sécurité: l’éditeur raisonne parfois en famille de problèmes à corriger globalement, tandis que les chercheurs insistent sur la correction rapide d’un vecteur concret, reproductible, et exploitable dans un environnement réel.
À ce stade, Manifold ne décrit pas un scénario théorique. L’alerte vise un chemin d’exécution précis dans l’extension, avec un impact potentiel sur des services courants, et une fenêtre temporelle de plusieurs semaines entre le signalement initial et la version incriminée.
Des clics synthétiques déclenchent neuf workflows sans vérifier Event. isTrusted
Le cur de la première vulnérabilité tient en une vérification absente: l’extension ne contrôlerait pas la propriété Event. isTrusted avant de considérer qu’un clic provient bien d’une action humaine. Dans les navigateurs modernes, un clic généré par un script est typiquement marqué comme non fiable. Un gestionnaire d’événement rigoureux s’en sert pour bloquer les déclenchements artificiels.
D’après le chercheur Ax Sharma, n’importe quelle autre extension installée dans le navigateur pourrait simuler ce clic sur claude. ai et forcer le lancement de workflows codés en dur. Manifold évoque neuf tâches prédéfinies. Le problème ne serait donc pas seulement l’exécution d’une commande, mais le fait que cette commande puisse correspondre à des actions à fort enjeu de confidentialité ou d’intégrité des données.
Les exemples donnés par Manifold incluent la lecture de Gmail, l’ouverture de Google Docs, la consultation de Google Calendar et la modification de leads dans Salesforce, le tout sans demander dans certains modes de fonctionnement. Le niveau de sévérité dépend des réglages: sous paramètres par défaut, Manifold annonce un score CVSS 7,7 (élevé). Si l’utilisateur active l’exécution automatique, la note grimpe à 9,6 (critique), car l’IA pourrait agir sans validation explicite.
Le point d’architecture est important: une extension de navigateur vit dans un écosystème où plusieurs extensions cohabitent. Une vulnérabilité qui permet à une autre extension d’orchestrer des actions élargit le modèle de menace, car l’attaquant n’a pas nécessairement besoin de compromettre le site web visité, il peut viser l’installation d’une extension malveillante ou détournée.
Pour les chercheurs, la correction serait simple: ajouter une condition qui refuse les événements non fiables avant d’autoriser le workflow. Anthropic, selon Manifold, rattacherait le sujet à une problématique plus large de trust boundary. Cette différence de lecture n’annule pas la matérialité du risque décrit: dans un navigateur, la distinction entre un clic humain et un clic synthétique est l’un des garde-fous de base pour éviter les automatisations forcées.
Le paramètre skipPermissions activerait un mode privilégié sans consentement
La seconde faiblesse signalée par Manifold concerne le panneau latéral de l’extension et un paramètre d’URL nommé skipPermissions. Lorsque ce paramètre vaut true, le panneau entrerait dans un mode où les contrôles d’autorisation sont ignorés, ce qui permettrait à Claude d’agir sans afficher de demande de consentement à l’utilisateur.
Selon Manifold, ce mécanisme ne devrait être utilisé que par une fonctionnalité interne de tâches planifiées, censée construire ce type d’URL privilégiée dans un contexte maîtrisé. Le problème, d’après les chercheurs, est que le panneau honore le paramètre quel que soit le script ou la page qui a construit l’URL d’origine. Autrement dit, le contrôle serait basé sur une chaîne de caractères et non sur une preuve d’origine ou un jeton d’autorisation robuste.
Manifold illustre l’impact avec un exemple de workflow: lecture de la boîte Gmail, identification des messages promotionnels, puis clic automatique sur les liens de désinscription. Sur le papier, l’usage peut rendre service. Dans un scénario détourné, la même capacité d’action, combinée à une absence de barrières de permission, ouvre la voie à des manipulations non souhaitées, à des accès à des contenus privés ou à des actions irréversibles dans des outils professionnels.
Les chercheurs résument leur critique par une formule: le contournement tient toujours en six lignes de JavaScript. L’idée n’est pas de minimiser la complexité de l’extension, mais de souligner que l’exploitation resterait courte et reproductible, plusieurs mois après le premier signalement.
Anthropic aurait classé ce second point comme informationnel, selon Manifold. Cette qualification est fréquente quand l’éditeur estime que l’exploitation requiert des prérequis élevés ou qu’elle n’est pas accessible à un attaquant distant. Mais dans un navigateur, l’hypothèse une autre extension peut appeler ce flux n’est pas marginale, car l’utilisateur installe souvent des modules tiers, et certaines extensions légitimes peuvent être compromises lors d’une mise à jour.
Pourquoi ces failles pèsent sur Gmail, Google Docs et Salesforce
L’intérêt des workflows IA dans le navigateur est d’enchaîner des actions à travers plusieurs services. C’est aussi ce qui rend un défaut de contrôle plus sensible: si l’extension peut lire une page, cliquer, extraire du texte et déclencher une action dans un autre onglet, elle devient un pont entre des environnements dont la sécurité repose souvent sur l’intention explicite de l’utilisateur.
Dans le cas de Gmail, le risque le plus immédiat est l’accès à des contenus personnels, factures, échanges professionnels, codes de connexion, informations de santé ou de voyage. Une action automatisée peut aussi modifier l’état des messages, archiver, supprimer ou répondre, selon les capacités exactes du workflow et les autorisations associées. Même sans exfiltration directe, une action non désirée peut créer des dommages concrets.
Pour Google Docs et Google Calendar, l’enjeu touche à la confidentialité, mais aussi à l’intégrité. Ouvrir un document ou un événement peut suffire à exposer des informations sensibles dans l’interface. Une modification de contenu, même minime, peut avoir des conséquences juridiques ou opérationnelles si elle concerne des contrats, des plannings ou des notes partagées. Les organisations traitent souvent ces outils comme des systèmes de référence.
Le cas Salesforce ajoute une dimension financière. Un changement de statut de lead, une modification de coordonnées ou l’ajout d’une note peut influencer un pipeline commercial. Dans une entreprise, ces actions laissent des traces, mais elles peuvent aussi déclencher des automatisations internes, relances, emails, ou affectations. Le risque ne se limite donc pas à lire, il peut s’étendre à agir dans des processus.
Manifold insiste sur l’augmentation du risque quand l’utilisateur active l’exécution automatique. Cette option, souvent présentée comme un gain de temps, réduit le nombre d’étapes où l’humain valide. Dans un modèle de sécurité, chaque validation est une barrière. Si la barrière principale, distinguer un clic humain d’un clic scripté, est absente, l’automatisation devient un amplificateur d’impact.