Collegare un assistente AI al browser è comodo: legge le mail, riassume i documenti, compila le cose noiose. Il 16 luglio una ricerca di Manifold Security ha mostrato il lato scomodo di quella comodità, e riguarda Claude for Chrome, l’estensione che porta l’assistente di Anthropic dentro il browser.
Il succo: un’altra estensione installata sullo stesso browser può far partire le azioni dell’agente come se le avesse chieste l’utente. Al momento in cui scriviamo la correzione non è stata rilasciata.
Perché un click finto passa per vero
Quando clicchi con il mouse, il browser marca quell’evento come autentico: è la proprietà tecnica isTrusted, che vale “vero” per i click umani e “falso” per quelli generati da un pezzo di codice.
La falla sta nel fatto che l’estensione non controllava questa distinzione prima di eseguire i flussi predefiniti. Risultato: qualunque altra estensione capace di eseguire codice sulle pagine di Claude può fabbricare click sintetici, e l’agente li accetta come se fossero i tuoi.
I ricercatori hanno segnalato anche un secondo elemento, un parametro interno che aggira i controlli sui permessi. Va detto con onestà: da solo non è sfruttabile, e Anthropic lo ha classificato come informativo. Il problema vero è il primo.
L'agente AI collegato alle caselle aziendali agisce con gli stessi permessi della persona che l'ha autorizzato: se qualcun altro riesce a comandarlo, non serve rubare la password: le azioni partono già autenticate.
Cosa risulta e cosa non risulta
Le quattro testate di sicurezza che hanno seguito il caso convergono su questi punti:
- le due segnalazioni risultano ancora sfruttabili nella versione 1.0.80 del 7 luglio, che secondo i ricercatori è identica alla precedente sul punto in questione;
- Anthropic ha riconosciuto la segnalazione sui click sintetici, dichiarando di seguirla già come problema più ampio;
- l’impatto reale dipende dalla configurazione: pesa soprattutto dove è attiva l’impostazione che lascia agire l’agente senza chiedere conferma.
Non risulta, allo stato, alcuna segnalazione di sfruttamento in attacchi reali. È una ricerca, non un incidente in corso.
La lezione che vale oltre questo caso
Qui sta la parte interessante per chi fa impresa, e non riguarda un singolo prodotto.
Per anni abbiamo trattato le estensioni del browser come piccoli accessori innocui: una che converte i PDF, una che salva le password, una che blocca la pubblicità, installate anni fa e mai più riviste. Quel modello mentale smette di funzionare nel momento in cui sullo stesso browser vive un agente AI collegato alla posta aziendale, al CRM o ai documenti condivisi.
L’agente non è un plugin: è un utente con i tuoi privilegi. E gli altri accessori installati accanto a lui, che nessuno ha mai valutato con quel metro, diventano di colpo vicini di casa con la chiave.
Tre controlli concreti
- Verifica l’auto-approvazione. Se nell’assistente è attiva l’esecuzione automatica delle azioni senza conferma, disattivarla riporta un essere umano nel punto in cui si decide. È la mitigazione che incide di più.
- Fai pulizia di estensioni. Sui browser aziendali, rimuovere ciò che nessuno usa più riduce la superficie: ogni estensione è codice che gira accanto all’agente.
- Guarda a cosa è collegato l’agente. Se ha accesso alla posta e ai documenti aziendali, merita la stessa attenzione che daresti a un collaboratore con quelle credenziali, non quella che daresti a un’app.
In breve
Un’estensione Chrome qualunque può far compiere azioni all’agente Claude for Chrome simulando click dell’utente, e la correzione non è ancora disponibile. Non è un’emergenza — non risultano attacchi reali — ma è il primo caso concreto di una categoria che le PMI incontreranno sempre più spesso. La mossa di oggi è disattivare l’esecuzione senza conferma e ripulire le estensioni; la mossa di lungo periodo è cambiare metro di giudizio: gli agenti AI collegati agli strumenti aziendali vanno governati come utenti, non come accessori.