클로드 포 크롬 취약점, 8번 패치에도 안 고쳐졌다

브라우저에 확장 프로그램 하나만 몰래 깔려 있어도, 옆에서 돌아가는 AI 비서가 내 지메일과 구글독스를 대신 읽어줄 수 있다면 어떨까요. 보안업체 매니폴드시큐리티(Manifold Security)는 지난 7월 14일, 앤스로픽의 브라우저 확장 프로그램 ‘클로드 포 크롬(Claude for Chrome)’에서 발견한 클로드 포 크롬 취약점 2건이 8번의 업데이트를 거치고도 여전히 살아있다고 공개했습니다. 신고 시점은 이보다 훨씬 이른 지난 5월 21일이었습니다.

무슨 일이 있었나

클로드 포 크롬은 사용자가 허락하면 지메일을 읽고, 구글독스 댓글을 확인하고, 캘린더 일정을 잡아주는 등 브라우저 안에서 대신 작업을 처리해주는 확장 프로그램입니다. 연구원 액스 샤르마는 이 확장 프로그램이 ‘클릭 이벤트’가 진짜 사용자가 누른 것인지 확인하는 절차를 빠뜨렸다는 점을 발견했습니다.

브라우저는 사람이 실제로 마우스를 클릭하면 그 이벤트에 isTrusted: true라는 표시를 남깁니다. 반대로 자바스크립트 코드로 인위적으로 만든 클릭에는 isTrusted: false가 붙습니다. 정상적인 프로그램이라면 이 값을 확인해서 가짜 클릭을 걸러내야 하는데, 클로드 포 크롬의 클릭 처리 코드는 이 검사를 하지 않았습니다. 그 결과 클로드닷에이아이(claude.ai) 페이지에 스크립트를 심을 수 있는 다른 확장 프로그램이라면, 단 6줄짜리 자바스크립트로 가짜 클릭을 만들어 클로드가 미리 정해둔 9가지 작업 중 하나를 실행하게 만들 수 있었습니다.

클로드 포 크롬 취약점, 두 가지 위험도가 다르다

매니폴드가 공개한 취약점은 두 가지입니다. 성격이 달라 표로 정리하면 이해가 쉽습니다.

두 번째 취약점은 그 자체만으로는 바로 공격에 쓰기 어렵지만, 첫 번째 취약점과 결합하면 사용자 동의 없이 조용히 실행되는 경로가 될 수 있다는 게 매니폴드의 설명입니다.

왜 8번 패치에도 안 고쳐졌나

타임라인을 보면 더 이상합니다. 매니폴드는 지난 5월 21일 이 문제를 앤스로픽의 버그바운티 프로그램으로 신고했고, 앤스로픽은 다음날 접수를 확인했습니다. 이후 앤스로픽은 첫 번째 취약점을 ‘기존에 추적 중이던 더 큰 범위의 신뢰 경계 문제로 이미 파악하고 있다’며 종료 처리했고, 두 번째 취약점은 ‘외부에서 도달할 수 있는 경로가 없다’는 이유로 정보성으로 분류했습니다.

문제는 그 뒤입니다. 앤스로픽은 이후 몇 주간 v1.0.73부터 v1.0.80까지 8개 버전을 릴리스했지만, 매니폴드가 지난 7월 7일 다시 확인한 결과 취약점이 있는 코드 부분은 5월에 테스트했던 버전과 바이트 단위로 동일했습니다. 즉 관련 코드는 손도 대지 않은 채 다른 부분만 업데이트된 셈입니다. 매니폴드는 이런 정황을 담아 7월 14일 ‘클로드블리드, 다시 열리다(ClaudeBleed Reopened)’라는 제목으로 연구 결과를 재공개했고, 이후 블리핑컴퓨터·더해커뉴스·시큐리티위크 등 주요 보안 매체들이 잇따라 이 소식을 다뤘습니다.

다만 이번 취약점이 클로드에게 아무 명령이나 내리는 ‘자유로운 프롬프트 인젝션’은 아닙니다. 공격자가 실행시킬 수 있는 건 확장 프로그램에 미리 박혀 있는 9가지 작업(지메일 확인, 구글독스 열람, 캘린더 조작 등)으로 한정됩니다. 대신 공격자가 악성 확장 프로그램을 사용자 브라우저에 설치하도록 유도해야 한다는 전제 조건이 붙습니다.

지금 확인해야 할 것들

클로드 포 크롬을 쓰고 있다면, 아래 항목을 점검해보는 게 좋습니다.

• ‘묻지 않고 실행(Act without asking)’ 모드를 껐는지 확인하기. 이 모드가 꺼져 있으면 클로드가 작업을 실행하기 전 승인 창이 뜨기 때문에, 가짜 클릭이 들어와도 최종 실행 전에 알아챌 기회가 생깁니다.
• 설치된 크롬 확장 프로그램 목록을 훑어보기. 출처가 불분명하거나 오랫동안 안 쓰는 확장 프로그램은 지금 삭제하는 게 안전합니다. claude.ai 도메인에서 스크립트를 실행할 권한을 가진 확장이 많을수록 공격 표면이 넓어집니다.
• 승인 창 없이 실행되는 작업이 있는지 평소에 유심히 보기. 클로드가 요청하지 않은 작업을 스스로 진행하는 낌새가 보이면 즉시 확장 프로그램 권한을 재검토해야 합니다.
• 클로드 포 크롬을 최신 버전으로 유지하기. 현재는 근본적인 수정이 반영되지 않은 상태지만, 향후 패치가 나오면 즉시 적용해야 합니다.

시사점

이번 사례가 눈에 띄는 이유는 취약점 자체보다 ‘고쳤다고 했는데 안 고쳐졌다’는 반복된 패턴에 있습니다. 매니폴드는 이번이 클로드 포 크롬의 첫 논란이 아니라, 지난 5월 다른 보안업체가 지적했던 ‘클로드블리드’ 문제의 재발이라고 지적합니다. AI 브라우저 확장이 지메일이나 문서함처럼 민감한 서비스에 대신 접근하는 구조가 늘어날수록, ‘이 요청이 진짜 사람이 보낸 것인가’를 확인하는 가장 기본적인 절차가 얼마나 중요한지를 보여주는 사례입니다. 클로드뿐 아니라 코파일럿이나 제미나이처럼 브라우저에 통합되는 다른 AI 비서들도 구조적으로 같은 위험을 안고 있을 수 있다는 점에서, 앞으로 이런 유형의 취약점 보도는 더 자주 나올 가능성이 큽니다.

출처

• Claude Chrome extension flaw lets malicious extensions trigger AI actions – BleepingComputer
• ClaudeBleed Reopened: Browser Extensions Can Still Push Claude for Chrome to Read Your Gmail – Manifold Security
• Claude for Chrome flaw could let rogue extensions access your Gmail – Malwarebytes