Uma auditoria técnica recente conduzida pelo pesquisador de privacidade Alexander Hanff revelou que o aplicativo Claude Desktop da Anthropic instala silenciosamente uma ponte de mensageria nativa (Native Messaging) nos diretórios de vários navegadores baseados em Chromium. Esse comportamento não documentado ocorre sem o consentimento explícito do usuário, levantando preocupações significativas de privacidade e segurança dentro da comunidade de cibersegurança.
Descoberta e escopo da instalação
Quando um usuário instala o Claude Desktop (Claude.app), o aplicativo automaticamente coloca um arquivo de manifesto de mensageria nativa chamado com.anthropic.claude_browser_extension.json nas pastas de suporte do aplicativo de até sete navegadores baseados em Chromium. Isso inclui Chrome, Brave, Edge, Arc, Vivaldi e Opera.
Para que uma extensão de navegador se comunique com um aplicativo de desktop local, é necessário um host de mensageria nativa. Esta ponte opera fora da sandbox segura do navegador, executando com os mesmos privilégios do usuário. O arquivo de manifesto pré-autoriza três IDs específicos de extensão do Chrome para acionar o binário auxiliar (chrome-native-host) localizado no pacote do aplicativo Claude Desktop.
Alarmantemente, essa instalação ocorre automaticamente mesmo se o usuário nunca tiver instalado a extensão do navegador Claude, e até mesmo em diretórios para navegadores que não estão atualmente instalados na máquina. Além disso, o Claude Desktop reescreve esses arquivos de manifesto sempre que é iniciado, tornando-os difíceis de remover permanentemente.
Implicações de segurança e privacidade
Embora o binário auxiliar permaneça inativo até ser ativado por uma das três extensões pré-autorizadas, sua presença expande a superfície de ataque da máquina do usuário. Se um atacante conseguir comprometer um dos IDs de extensão permitidos por meio de uma invasão de conta, uma atualização maliciosa da Web Store ou um pipeline de construção comprometido, eles poderiam alcançar execução de código fora da sandbox.
Os riscos de privacidade são igualmente graves. De acordo com a própria documentação da Anthropic, suas integrações de navegador são projetadas para compartilhar estados de login, ler o Document Object Model (DOM), extrair dados estruturados e preencher formulários. Isso significa que uma ponte totalmente ativada poderia permitir que o agente de IA leia mensagens privadas decifradas, acesse portais bancários e capture senhas enquanto são digitadas.
Além disso, a Anthropic divulgou anteriormente que sua extensão Claude para Chrome é vulnerável a ataques de injeção de prompt. Uma injeção de prompt bem-sucedida contra a extensão poderia, em teoria, usar a ponte de mensageria nativa pré-instalada para executar comandos na máquina host.
Contexto regulatório e conformidade
O problema central destacado por Hanff é a total falta de transparência. O software emprega um "padrão escuro" forçando uma integração através de limites de software independentes sem solicitar que o usuário opte por participar. Hanff observou que a implantação silenciosa de capacidades de rastreamento e automação dormentes pode estar em violação direta da Diretiva ePrivacy da UE e das regulamentações de uso indevido de computadores, que governam estritamente o armazenamento de informações no equipamento terminal do usuário.
As práticas padrão de cibersegurança ditam que tais integrações de sistema poderosas devem ser instaladas apenas quando um usuário as solicita ativamente, serem adequadamente escopadas para o navegador alvo e serem visíveis nas configurações do aplicativo.
Recomendações para CISOs e equipes de segurança
À medida que as ferramentas de IA buscam cada vez mais controle agêntico sobre nossos ambientes digitais, impor consentimento estrito do usuário e limites de segurança transparentes permanece crítico. As organizações devem considerar as seguintes medidas:
- Auditoria de Software: Implementar verificações regulares para detectar a instalação não autorizada de manifestos de mensageria nativa em diretórios de navegadores.
- Monitoramento de Rede: Monitorar conexões de saída de aplicativos de desktop que se comunicam com extensões de navegador para identificar comportamentos anômalos.
- Políticas de Consentimento: Revisar políticas de segurança para garantir que softwares de terceiros não instalem componentes de sistema sem consentimento explícito do usuário final.
- Educação do Usuário: Informar usuários sobre os riscos de instalar aplicativos de IA que podem ter acesso a dados de navegação e credenciais.
O que fazer agora
Os administradores de sistemas devem verificar a presença de arquivos de manifesto em diretórios como ~/Library/Application Support/Google/Chrome/NativeMessagingHosts/ em macOS e Linux. A remoção manual pode ser necessária, mas a reescrita automática pelo aplicativo pode exigir a desinstalação completa do Claude Desktop ou a aplicação de políticas de restrição de software.
Perguntas frequentes
Isso afeta apenas o macOS? A auditoria inicial focou no macOS, mas a arquitetura de mensageria nativa é suportada em Windows e Linux. A extensão do escopo é necessária.
Como posso verificar se meu sistema está comprometido? Procure por arquivos JSON em pastas de suporte de navegador que contenham referências a com.anthropic.claude.
A Anthropic respondeu a essas preocupações? Até o momento, a empresa não emitiu um comunicado oficial sobre a remoção dessa funcionalidade ou a alteração do modelo de consentimento.