Anthropic po dřívější zranitelnosti ClaudeBleed omezil externí spouštění právě na tuto devítku úloh aktivovanou kliknutím na konkrétní prvek stránky. Slabinou zůstává samotné kliknutí – prohlížeč u každého z nich sám pozná, zda přišlo od uživatele, nebo ho vyvolal skript, rozšíření ale tuto hodnotu nekontroluje, a považuje tak za skutečné i kliknutí podvržené cizím skriptem. V běžném režimu tomu ještě předchází schvalovací dialog, proto výzkumníci chybu ohodnotili na CVSS 7,7. V režimu „Act without asking", kdy Claude jedná bez jakéhokoli dotazu, stoupá hodnocení na 9,6.

Chybu nahlásili Anthropicu už 21. května. Firma interní hlášení uzavřela s odkazem na to, že širší problém sleduje jiný, dosud otevřený tiket, a mezitím vydala osm dalších verzí rozšíření. Podle výzkumníků je kód spouštějící útok v aktuální verzi beze změny a k polovině července k němu neexistovalo ani CVE, ani veřejné oznámení od Anthropicu. Verze 1.0.81 vyšla 16. července, o opravě této konkrétní chyby ale zatím nic nenasvědčuje. Kdo rozšíření používá, měl by vypnout režim „Act without asking" a zkontrolovat, která další rozšíření mají oprávnění k doméně claude.ai.

Třetí zjištění týdne ukazuje, že AI dokáže být v roli útočníka překvapivě snadno odhalitelná. Firma Horizon3 ve studii Honeyquest otestovala 21 AI modelů od deseti poskytovatelů proti klasickým bezpečnostním návnadám – podvrženým souborům, konfiguračním souborům či HTTP odpovědím – a porovnala jejich chování se 47 lidskými red-teamery. Modely na návnadu naletěly více než dvakrát častěji než lidé, v 78,5 procenta případů oproti 37 procentům, a to i ve chvílích, kdy ve svých vlastních úvahách past správně rozpoznaly jako past – přesto na ni v 73 procentech případů zaútočily. Pro obranu to znamená, že klamlivé návnady typu honeytoken nezastaví AI útočníka od nalezení skutečné zranitelnosti, zato fungují jako levný a spolehlivý systém včasného varování, protože rozpoznání pasti a vyhnutí se jí jsou u dnešních modelů zjevně dvě různé věci.