Chrome版Claude曝高危提示注入漏洞，可窃取Gmail验证码

FreeBuf

2026年8月8日 18:00
上海

在小说阅读器读本章

去阅读

Chrome版Claude存在一个间接提示注入（indirect prompt injection）漏洞，攻击者可以利用该漏洞窃取邮箱验证码，进而劫持Slack、X和Claude.ai等平台的账户。

攻击始于一封落入受害者Gmail收件箱的恶意邮件。当用户要求Chrome版Claude汇总最近的邮件时，该助手可能会无意中读取到攻击者控制的邮件内容。

邮件中隐藏的指令可以操纵Claude使用其javascript\_tool运行JavaScript，整个过程受害者毫无察觉。

此前的研究已经记录了从简单浏览器弹窗到任意代码执行的完整攻击路径。而最新的分析则聚焦于更严重的后果：通过基于邮箱的身份验证实现账户劫持。

关键在于，该JavaScript工具运行在受害者已认证的浏览器会话中。这意味着恶意代码可以访问已登录的服务，包括Gmail。

攻击者可以为其他服务触发密码重置、魔法链接（magic link）登录或验证码请求，然后监控受害者的收件箱以获取相应的消息。

Part01

Chrome版Claude提示注入

Gmail的Atom feed端点在本次研究中扮演了核心角色。由于浏览器会话已通过身份验证，攻击者控制的JavaScript可以向Gmail请求最近的未读邮件元数据，然后搜索包含Slack确认码、X密码重置码或Claude.ai魔法链接的邮件。

Zenity Labs的研究人员发现，攻击者使用了托管在自定义软件包注册表上的恶意JavaScript软件包，该注册表旨在模仿合法的内容分发网络（CDN）。

Slack的基于邮件的登录流程（来源：Zenity Labs）

某个软件包可能看起来在执行无害操作（例如生成UUID），但实际上在返回看似无害的结果之前，已经秘密启动了账户劫持流程。

Part02

Slack、X与Claude.ai账户劫持路径

在Slack的攻击场景中，攻击首先会为受害者的邮箱地址请求Slack登录验证码。一个独立的自动化浏览器进程会浏览Slack的登录流程并提交该邮箱地址。

一旦Slack发送确认码，运行在受害者浏览器中的代码就会读取Gmail Atom feed，提取验证码并发送给攻击者。随后，攻击者便能以受害者身份完成登录。

对X的攻击则需要更多逆向工程，因为其密码重置流程涉及多个有状态的API步骤，并会检测浏览器自动化痕迹。

研究人员梳理了X的引导端点、访客令牌流程、流程令牌以及基于JavaScript的遥测挑战。

在发起密码重置并从Gmail中检索到验证码后，攻击者可以设置新密码并获得经过身份验证的会话Cookie。

Claude.ai同样存在漏洞，其无密码魔法链接流程也未能幸免。研究人员发现，通过邮件发送的魔法链接在其URL片段中包含一个nonce（随机数）。

通过读取来自Gmail的邮件，攻击者可以提取该nonce并提交至Claude.ai的身份验证端点。验证成功后，系统将设置会话Cookie，从而授予攻击者对受害者账户的访问权限。

Part03

安全启示

Claude.ai账户被入侵可能带来尤为广泛的后果。攻击者不仅可能访问聊天记录和上传的文件，还可能访问已授权的连接器（connectors），如Gmail、Google Drive、Calendar、Slack和GitHub。

这项研究揭示了一种危险的组合：间接提示注入、基于浏览器的代码执行，以及将电子邮件作为身份验证媒介。

任何能够读取不可信内容并在已登录会话中执行代码的AI浏览器Agent，都有可能将收件箱访问权限转化为账户劫持漏洞。

参考来源：

Claude in Chrome Prompt Injection Steals Gmail Codes to Hijack Slack, X, and Claude.ai Accounts

https://cybersecuritynews.com/claude-chrome-prompt-injection/

推荐阅读

电报讨论