Claude for Chrome, 신고 후 8개 버전에도 Gmail·캘린더 접근 취약점 미패치

기본 모드의 승인 절차

기본 확인 모드에서는 Gmail 메시지나 구글 캘린더 항목을 실제로 읽기 전에 이용자에게 승인 창이 표시된다. 위조된 클릭이 작업을 불러오더라도 기본 모드에서는 읽기 실행 전에 확인 단계를 거친다.

반면 ‘Act without asking’ 모드에서는 위조된 클릭으로 불러온 작업이 추가 승인 창 없이 실행될 수 있다.

취약점의 작동 방식

핵심 결함은 클릭 처리기가 event.isTrusted 값을 검사하지 않는다는 데 있다. event.isTrusted는 클릭이 실제 사용자 동작인지 스크립트가 만든 동작인지 브라우저가 구분하는 값이다. 이 값을 확인하지 않아 Claude for Chrome은 스크립트로 만든 클릭도 실제 입력으로 받아들인다.

이 때문에 악용 시 Gmail 메시지, 구글 문서와 댓글, 구글 캘린더 항목을 읽는 작업이 실행될 수 있다.

Manifold는 취약점 심각도를 CVSS로 평가했다. CVSS는 취약점 심각도를 0에서 10까지의 점수로 나타내는 국제 표준 지표다. Manifold의 평가에 따르면 기본 확인 모드는 CVSS 7.7(High), ‘Act without asking’ 모드는 CVSS 9.6(Critical)이다.

Manifold는 클릭 처리기 앞부분에서 스크립트로 만든 클릭을 거부하는 수정안을 제시했다고 같은 매체에 따르면 2026년 7월 14일 기준 이 수정은 배포되지 않았고, 공개된 패치도 없다.

두 번째 취약점과 배경

두 번째 취약점은 현재 직접 원격으로 악용할 수 없다. Claude 사이드 패널 URL에 skipPermissions=true 매개변수가 포함되면 확인 절차를 건너뛰는 모드로 실행되지만, 현재는 확장 프로그램만 해당 URL을 만들 수 있다. 다만 외부 코드가 URL 구성에 영향을 미치는 별도 결함이 생기면 공격 경로가 될 수 있다.

이번 결함은 ClaudeBleed 대응 이후에도 남은 부분이다. ClaudeBleed는 앤트로픽이 외부 웹페이지가 임의의 내용을 Claude에 전달하던 경로를 제한하며 대응한 선행 사안이다. 앤트로픽은 이 대응 과정에서 해당 경로를 usecase-gmail, usecase-gdocs, usecase-calendar를 포함한 9개 고정 작업 ID로 제한했다. 그러나 고정 작업을 실행하는 클릭의 진위를 확인하지 않는 문제는 남았다.

이용자 대응

The Hacker News는 이용자가 ‘Act without asking’ 모드를 끄고, claude.ai 데이터 접근 권한이 있는 확장 프로그램을 점검하는 대응을 제시했다. 앤트로픽의 공식 입장과 관련해서는 SecurityWeek가 논평을 요청했다.