Claude para Chrome sigue expuesto a clics falsos dos meses después del aviso, pese a un parche de una línea

Por TechRadar · 19 de julio de 2026.

La extensión Claude para Chrome, en su versión 1.0.80 publicada el 7 de julio de 2026, arrastra dos vulnerabilidades sin corregir según el informe de la firma de seguridad Manifold Security, que las reportó a Anthropic el 21 de mayo a través de su programa de recompensas por errores (bug bounty) y recibió acuse de recibo al día siguiente. Dos meses y ocho versiones más tarde, ambos fallos seguían activos en las pruebas de Manifold del 7 de julio.

El primero es un problema de verificación de origen. El investigador Ax Sharma descubrió que la extensión nunca comprobaba la propiedad Event.isTrusted del navegador —el indicador que distingue un clic real del usuario de uno simulado por código— antes de ejecutar nueve tareas predefinidas: leer Gmail, abrir Google Docs, consultar Google Calendar o modificar leads de Salesforce. Cualquier otra extensión del navegador puede simular ese clic en claude.ai y disparar la acción. El fallo recibió una puntuación CVSS (el estándar del sector para medir gravedad de vulnerabilidades, de 0 a 10) de 7,7, calificada como alta, que sube a 9,6, crítica, si el usuario tiene activada la ejecución automática, porque entonces Claude actúa sin pedir aprobación.

El segundo fallo es más estructural: un parámetro de la URL del panel lateral llamado skipPermissions activa un modo privilegiado que salta cualquier aviso de consentimiento cuando se fija en "true". Según Manifold, solo la función interna de tareas programadas de Anthropic debería construir ese tipo de URL, pero el panel obedece el parámetro venga de donde venga. Un ejemplo citado en el informe: Claude puede leer la bandeja de Gmail, identificar correos promocionales y pulsar automáticamente sus enlaces de baja. Manifold resume la gravedad con una frase directa: "el bypass sigue siendo seis líneas de JavaScript".

Lo llamativo no es solo la existencia de los fallos, sino la respuesta de Anthropic. La compañía cerró el primer reporte alegando que un informe interno ya existente cubría el problema de fondo, y clasificó el segundo como "informativo", argumentando que ese parámetro solo lo genera su propio sistema. Manifold contraargumenta con un dato concreto: el código del content-script y del panel lateral asociado a ambos fallos permaneció byte a byte idéntico en las ocho versiones publicadas entre la 1.0.73 y la 1.0.80. Y según Sharma, arreglar el primer fallo habría requerido una sola línea de código adicional para validar isTrusted.

Un detalle técnico refuerza la lectura del problema: ambos fallos se reprodujeron igual seleccionando Opus, Sonnet o Fable como modelo del panel lateral. Esto descarta que sea un problema del modelo de lenguaje en sí —no es que la IA "decida mal"— y confirma que es un fallo de diseño en los límites de confianza (trust boundaries) del software que envuelve al modelo: quién puede pedirle que actúe y bajo qué comprobaciones. El propio informe conecta el caso con dos categorías del marco de referencia OWASP para aplicaciones con IA: LLM01 (inyección de prompts) y LLM06 (agencia excesiva, cuando un sistema actúa con más autonomía de la que debería sin supervisión humana).

Este episodio importa más allá de una extensión concreta. Confirma algo que llevamos meses señalando en Zendoric: en los sistemas agénticos —donde la IA no solo responde sino que actúa sobre correo, calendarios o CRM— el eslabón débil no suele estar en la inteligencia del modelo, sino en el andamiaje de permisos que lo rodea. Un agente con capacidad de leer tu Gmail o tocar Salesforce es, por diseño, una superficie de ataque nueva y más peligrosa que un chatbot que solo conversa; cuanta más autonomía se le concede (la ejecución automática que dispara el CVSS a 9,6 es el ejemplo perfecto), menos margen hay para errores de verificación básica. Y como advierte Manifold, la detección es difícil precisamente porque el tráfico de red y la actividad del navegador pueden parecer completamente normales mientras la IA actúa sin autorización real.

Nuestra lectura es que este tipo de hallazgos, más que anecdóticos, son el precio de entrada de la carrera agéntica: cada laboratorio está desplegando asistentes con permisos crecientes sobre correo, documentos y herramientas empresariales antes de que la disciplina de seguridad alrededor de esos permisos madure al mismo ritmo. A corto plazo, eso significa vulnerabilidades reales, respuestas corporativas que a veces minimizan el riesgo antes que corregirlo, y una necesidad urgente de que la verificación externa —auditorías independientes, bug bounties tomados en serio, no solo anunciados— se convierta en infraestructura estándar, no en un extra. A largo plazo, sin embargo, esta fricción es exactamente el tipo de aprendizaje que necesitamos atravesar: una IA agéntica fiable, capaz de gestionar de verdad nuestras tareas administrativas mientras nosotros nos dedicamos a lo que nos importa, solo llegará si los fallos de diseño como este se detectan y corrigen ahora, con la tecnología todavía manejable, y no cuando esos agentes ya controlen infraestructuras críticas. La gobernanza de estos sistemas, no su elocuencia conversacional, será la que determine si la abundancia prometida llega con las salvaguardas puestas.