TechFlow 보도에 따르면, 3월 27일 GoPlus는 Koi의 보고서를 인용해 Anthropic 산하의 Claude Chrome 확장 프로그램에 심각한 프롬프트 주입 취약점이 발견됐다고 전했다. 이 취약점은 버전 1.0.41 미만의 모든 확장 프로그램에 영향을 미친다.
공격자는 악성 웹페이지를 구성함으로써 백그라운드에서 익명으로 크로스사이트 스크립팅(XSS) 취약점을 가진 iframe을 로드하고, a-cdn.claude.ai 하위 도메인 내에서 악성 페이로드를 실행할 수 있다. 해당 하위 도메인은 확장 프로그램의 신뢰 백리스트에 포함되어 있기 때문에 공격자는 사용자 인증이나 클릭 동작 없이도 Claude 확장 프로그램에 악성 프롬프트를 직접 전송하고 자동 실행시킬 수 있으며, 피해자는 이를 전혀 인지하지 못한다.
이 취약점을 통해 공격자는 Claude 확장 프로그램을 조작해 사용자의 Google 드라이브 문서를 읽거나, 업무용 액세스 토큰을 탈취하거나, 채팅 기록을 내보내는 등의 행위를 수행할 수 있으며, 현재 브라우저 세션을 장악해 피해자 신분으로 이메일 발송 등 민감한 작업을 실행할 수도 있다.
GoPlus는 사용자들이 즉시 Claude 확장 프로그램을 버전 1.0.41 이상으로 업데이트하고 피싱 링크에 주의할 것을 권고했다.
즐겨찾기 추가
소셜 미디어 공유
