ShadowPrompt - N'importe quel site pouvait abuser votre extension Claude

ShadowPrompt - N'importe quel site pouvait abuser de votre extension Claude

Une faille découverte dans l'extension Chrome de Claude permettait à n'importe quel site web d'injecter silencieusement des prompts dans votre assistant IA. Pas besoin de cliquer, pas besoin de permission... il suffisait simplement de visiter une page web et le tour était joué. Le chercheur Oren Yomtov, à l’origine de cette découverte, a baptisé cela "ShadowPrompt" et c'est assez incroyable.

En réalité, cette attaque exploitait deux failles. La première était que l'extension acceptait les messages de n'importe quel sous-domaine en .claude.ai, car Anthropic avait mis en place une allowlist trop permissive. Cependant, Arkose Labs, le fournisseur de CAPTCHA, hébergeait un composant sur a-cdn.claude.ai qui contenait une faille XSS classique. Ce composant acceptait les postMessage sans vérifier l'origine, permettant ainsi d'injecter du texte via un dangerouslySetInnerHTML. Il n'y avait donc aucune validation côté client.

Un attaquant n'avait qu'à embarquer ce composant CAPTCHA vulnérable dans une iframe cachée sur son site, envoyer un payload via postMessage, et le script injecté pouvait alors balancer un prompt directement à l'extension. Celle-ci le recevait depuis un domaine .claude.ai, donc l'acceptait sans hésitation et l'affichait dans la sidebar comme une requête légitime de l'utilisateur. La victime ne voyait strictement rien.

Les dégâts potentiels ne sont clairement pas négligeables ! Avec cette technique, un attaquant pouvait :

• Voler vos tokens d'accès Gmail
• Exfiltrer des documents Google Drive
• Lire tout l'historique de vos conversations avec Claude
• Envoyer des mails en votre nom

Personnellement, cela fait beaucoup pour un simple onglet ouvert dans Chrome.

Le chercheur a trouvé le vecteur en bruteforçant les anciennes versions du composant Arkose Labs, en remontant depuis la version 1.26.0 jusqu'à découvrir une version encore vulnérable. Simple et basique, comme dirait Orel :)

Si vous suivez les failles des assistants IA, ce n'est pas la première fois que ce genre de scénario se produit. Claude Cowork avait déjà été épinglé pour de l'exfiltration de fichiers via des documents piégés, et le navigateur Perplexity Comet avait le même problème avec des invitations de calendrier. Le problème de fond est que ces extensions veulent tout faire à votre place, mais elles ne sont pas forcément capables de distinguer une requête légitime d'une attaque.

Attention, le correctif ne protège que les utilisateurs ayant mis à jour l'extension, donc n'oubliez pas de vérifier votre version. Koi Security a signalé la faille à Anthropic le 26 décembre 2025 (joyeux Noël !) et ces derniers ont confirmé le lendemain, déployant le correctif le 15 janvier, dans la version 1.0.41 de l'extension Chrome.

Désormais, au lieu d'accepter .claude.ai, l'extension exige une correspondance exacte avec https://claude.ai. Arkose Labs a également corrigé la faille XSS en février, en renvoyant un 403 sur l'URL vulnérable. À vrai dire, la réactivité d'Anthropic a été plutôt correcte sur ce coup.

Bref, vérifiez que vous êtes au moins en v1.0.41 (chrome://extensions pour vérifier). Et n'oubliez pas, plus une extension IA a de pouvoirs, plus elle est intéressante à hacker...