Claude for Chromeの未修正脆弱性｜悪意ある拡張がGmailを読める仕組みと対策

結論: Anthropicのブラウザ拡張機能「Claude for Chrome」に、悪意ある拡張機能がユーザーの許可なくGmail・Googleドキュメント・カレンダーのデータを読み取れる脆弱性が2件見つかっています。セキュリティ企業Manifold Securityが2026年5月21日にAnthropicへ報告済みですが、7月7日リリースのv1.0.80を含む8回のアップデートを経ても修正されていません（Manifold Security、2026年7月公表）。

この記事の要点:

• Claude for Chromeの脆弱性により、悪意ある拡張機能がわずか6行のJavaScriptでClaudeの操作を偽装し、Gmail・Googleドキュメント・カレンダー・Salesforceのデータを読み取れる（Manifold Security調査、CVSS 7.7〜9.6）
• 2026年5月21日にAnthropicのバグバウンティ経由で報告されたが、8回のバージョンアップ（v1.0.73〜v1.0.80）で修正されていない（2026年7月時点）
• 攻撃に必要なのはClaude for Chromeと同じブラウザにインストールされた別の拡張機能だけで、ユーザーのクリックやフィッシングは不要

対象読者: Claude for Chromeをインストールしているエンジニア、ブラウザ拡張機能を業務で使う開発者、SES現場でAIツールの利用ルール策定に関わる方

読了後にできること: 自分のClaude for Chromeの設定を確認し、リスクを下げる具体的な手順がわかります。また、AIブラウザ拡張機能全般のリスク評価の判断軸が持てます

この脆弱性報告が出た背景

2026年7月、セキュリティ企業Manifold Securityが「ClaudeBleed Reopened」と題した調査レポートを公開しました（Manifold Security、2026年7月）。

Anthropicの「Claude for Chrome」は、ブラウザ上でClaudeを呼び出してGmailの整理やGoogleドキュメントのコメント確認、カレンダーの空き時間検索などを実行できる拡張機能です。2026年7月時点で、ChromeウェブストアからインストールできるClaude公式の拡張として広く使われています。

僕自身、デュスクではClaude Codeを全社で導入して、AI秘書の「FRIDAY」に日々の業務を任せています。Claudeのエコシステムを業務の中心に据えている立場として、今回の報告は見過ごせませんでした。この記事では、何が見つかったのかを事実ベースで整理し、エンジニア・SES現場で今確認すべきことまで踏み込みます。

何が起きたのか——時系列で整理する

ポイントは、Anthropicが報告を受け取り、内部では「解決済み」としたにもかかわらず、実際にはコードの修正が行われていないという点です。Anthropicは報告に対し「より広い問題として既にトラッキングしている」と回答し、レポートをクローズしています（BleepingComputer、2026年7月16日）。

2つの脆弱性の仕組み——何ができてしまうのか

脆弱性1: 偽クリックによるタスク乗っ取り（CVSS 7.7）

Claude for Chromeには、Gmailの整理やカレンダーの検索など9種類の定型タスクが組み込まれています。ユーザーがボタンをクリックするとタスクが実行される仕組みです。

問題は、拡張機能がクリックイベントの真正性を検証していないことです。

ブラウザにはEvent.isTrustedというプロパティがあります。ユーザーが実際にマウスやキーボードを操作したイベントにはtrueが、JavaScriptでプログラム的に生成されたイベントにはfalseが設定されます。Claude for Chromeはこのチェックを行っていないため、別の拡張機能が生成した偽のクリックイベントも、ユーザー本人の操作として処理されます。

Manifold Securityが公開した実証コードは、わずか5行です:

const button = document.createElement('button');
button.id = 'claude-onboarding-button';
button.setAttribute('data-task-id', 'usecase-gmail');
document.body.appendChild(button);
button.click();

data-task-idを変更するだけで、Gmail読み取り・Googleドキュメントのコメント確認・カレンダーの空き時間検索・Salesforceのリード操作など、9種類のタスクすべてを実行できます。

脆弱性2: 「確認なしで実行」モードの無断有効化（CVSS 9.6）

Claude for Chromeには、タスク実行前の確認ダイアログを省略する「Act without asking」モードがあります。通常はユーザーが明示的にオンにする機能ですが、サイドパネルのURLにskipPermissions=trueパラメータを付与するだけで、ユーザーの同意なくこのモードを有効化できることがわかりました。

脆弱性1と組み合わせると、ユーザーに一切の確認ダイアログを表示せず、バックグラウンドでGmailの内容を読み取り、外部に送信することが技術的に可能です。この場合のCVSSスコアは9.6（Critical）に跳ね上がります。

Anthropicはこの報告を「Informational（情報提供のみ）」に分類しました。単体では悪用が難しく、脆弱性1との組み合わせが必要だという判断と見られます（BleepingComputer、2026年7月16日）。

どこまで確認されているのか——検証状況

確認済みの事実

• 脆弱性の存在: Manifold Securityが実証コードつきで公開済み。複数のセキュリティメディアが検証報道している（BleepingComputer・The Hacker News・SecurityWeek・Malwarebytes・CSO Online）
• 未修正であること: v1.0.80（2026年7月7日リリース）で両脆弱性が有効であることをManifold Securityが確認済み
• 報告経路: Anthropicのバグバウンティプログラム経由で2026年5月21日に報告され、翌日受領確認

当事者の主張段階のこと

• Anthropicは「より広い問題として既にトラッキングしている」と回答しています。具体的な修正スケジュールや対応計画は、執筆時点で公表されていません
• Manifold Securityは、Anthropicが内部で「Resolved」としたにもかかわらずコード変更がなかったと主張しています。Anthropicがこの主張に対して公式に反論した報道は確認できていません

未確認・留意すべき点

• この脆弱性を実際に悪用した攻撃が報告されたケースは、執筆時点で確認できていません
• CVEは未割り当てです
• Manifold Securityの調査は、Anthropicとの間でバグバウンティの報奨金に関する合意が成立していない状態で公開されています。この点が調査の信頼性に影響するかどうかは、読者自身の判断に委ねます

楽観論と慎重論——受け止め方は分かれている

「深刻に受け止めるべき」という見方

• ゼロクリック攻撃であり、ユーザーの操作ミスやフィッシングへの引っかかりを前提としない。悪意ある拡張機能がインストールされていれば条件が成立する
• Gmailは業務メール、Googleドキュメントは社内資料、カレンダーは会議情報を含むため、読み取られるデータの機密性が高い
• 5月21日の報告から2ヶ月以上、8回のアップデートで修正されていないことは、修正の優先度が低く見積もられている可能性がある
• The Hacker Newsは「Manifold Securityは複数回にわたってAnthropicに再報告した」と報じている（The Hacker News、2026年7月）

「過度に心配する必要はない」という見方

• 攻撃の前提条件として、被害者のブラウザに悪意ある拡張機能がインストールされている必要がある。ChromeウェブストアのレビューやChromeのManifest V3制約が一定の防御として機能する
• Anthropicが「より広い問題としてトラッキングしている」と回答していることから、アーキテクチャレベルの対策を検討している可能性がある（推測の域を出ません）
• skipPermissions=trueによる重大な影響（CVSS 9.6）は、ユーザーが明示的に「確認なしで実行」を有効にしていない限り、脆弱性1だけではCVSS 7.7にとどまる

デュスクとしての見立て

楽観論にも一理ありますが、「悪意ある拡張機能のインストール」は珍しいシナリオではありません。2025年にはChrome拡張機能を対象としたサプライチェーン攻撃が複数報告されており、正規の拡張機能がアップデート時に悪意あるコードを注入されるケースも確認されています。「拡張機能が安全であれば問題ない」を前提にするのは、リスク管理としては不十分だと考えます。

エンジニア・SES現場への示唆

ここからが本題です。

AIツールの「便利さ」と「権限の広さ」はトレードオフ

Claude for Chromeが便利なのは、GmailやGoogleドキュメントに直接アクセスして作業を代行してくれるからです。しかし、それは同時にAIツールが業務データへの広範なアクセス権を持っていることを意味します。今回の脆弱性は、その権限を第三者が乗っ取れてしまうという問題です。

SES現場では、常駐先のセキュリティポリシーでブラウザ拡張機能の利用が制限されているケースが多くあります。その制限には理由があります。今回の事例は、「AIツールだから特別扱いする」ではなく、「AIツールだからこそ、持っている権限を改めて確認する」という姿勢の重要性を示しています。

ブラウザ拡張機能のリスクはAIに限らない

今回の脆弱性は「AIツール特有」の問題ではなく、ブラウザ拡張機能のアーキテクチャに共通する課題の一例です。The Next Webは2026年7月の記事で、Claude for Chromeの問題を含む4つのAIエージェントセキュリティインシデントを取り上げ、「我々はエージェントを最も機密性の高いアカウントに接続するスピードが、防御を学ぶスピードを上回っている」と指摘しています（The Next Web、2026年7月）。

エンジニアとして意識すべきなのは、「この拡張機能は何にアクセスできるか」を定期的に棚卸しする習慣です。

今すぐ確認・検討すべきこと

• 今日確認すること: Chromeの拡張機能管理画面（chrome://extensions）を開き、Claude for Chromeがインストールされている場合は「Act without asking（確認なしで実行）」がオフになっていることを確認する。不要な拡張機能があれば、この機会に整理する
• 今週中にやること: 自分がインストールしている拡張機能の一覧を確認し、各拡張機能がどのサイトのデータにアクセスできるかを把握する（拡張機能の「詳細」→「サイトへのアクセス」で確認可能）。不審な権限を持つ拡張機能があれば無効化を検討する
• 今月中に検討すること: SES現場や自社でAIツールのブラウザ拡張機能を利用している場合、利用ガイドラインにブラウザ拡張機能のリスク評価を追加することを検討する。チェックポイントの例: 「拡張機能が求める権限は業務に必要最低限か」「自動実行モードはオフにしているか」「他の拡張機能との干渉リスクは考慮しているか」

まとめ

Claude for Chromeに2件の未修正脆弱性が存在し、悪意ある拡張機能によるGmail・Googleドキュメント・カレンダーのデータ読み取りが技術的に可能な状態です。Manifold Securityが2026年5月に報告済みで、7月時点でも未修正。ただし、実際の悪用事例は執筆時点で報告されていません。

AIツールをブラウザに組み込むことは生産性の向上に直結しますが、それは同時に攻撃対象になる面も広げています。修正が適用されるまでの間、拡張機能の権限設定の確認と、不要な拡張機能の整理を行っておくことが、現時点でできる最も確実な対策です。

参考・出典

• ClaudeBleed Reopened: Browser Extensions Can Still Push Claude for Chrome to Read Your Gmail — Manifold Security（参照日: 2026-07-23）。脆弱性の技術的詳細・実証コード・報告タイムラインの一次情報
• Claude Chrome extension flaw lets malicious extensions trigger AI actions — BleepingComputer（参照日: 2026-07-23）。Anthropicの回答内容・影響範囲の二次報道
• Researchers Say Claude for Chrome Flaw Lets Rogue Extensions Trigger Gmail Reads — The Hacker News（参照日: 2026-07-23）
• Unpatched Claude for Chrome Flaw Lets Extensions Read Gmail, Calendar — SecurityWeek（参照日: 2026-07-23）
• Claude for Chrome flaw could let rogue extensions access your Gmail — Malwarebytes（参照日: 2026-07-23）
• AI agent security: four July attacks, one shared flaw — The Next Web（参照日: 2026-07-23）。4件のAIエージェントセキュリティインシデントの横断分析
• New bugs in Claude for Chrome allow extensions to abuse AI privileges — CSO Online（参照日: 2026-07-23）