Archiv 21. Juli 2026

Anthropic öffnet Claude in Chrome breiter: Warum Browser-Agenten gerade an der Zustimmungsgrenze scheitern

Anthropic macht Claude in Chrome gerade zum breiteren Produkt. Laut aktuellem Hilfe- und Release-Material ist die Browser-Erweiterung inzwischen in der Beta für alle bezahlten Claude-Pläne verfügbar, also für Pro, Team und Enterprise. Gleichzeitig betont Anthropic in der eigenen Sicherheitsdokumentation weiter, dass Browser-Nutzung trotz Classifiern inhärente Risiken trägt und Nutzer für die ausgelösten Aktionen verantwortlich bleiben.

Genau diese Kombination macht die Meldung blogtauglich. Denn fast zeitgleich dokumentiert Manifold Security zwei Schwachstellen in Claude for Chrome, die laut Veröffentlichung vom 14. Juli 2026 auch in Version 1.0.80 weiter reproduzierbar sind und im Update vom 20. Juli 2026 erneut hervorgehoben wurden. Die eigentliche Nachricht ist für mich deshalb nicht nur ein einzelner Bug. Die eigentliche Nachricht ist, dass Anthropic Browser-Agenten gerade breiter ausrollt, obwohl eine zentrale Vertrauensgrenze zwischen Nutzerzustimmung und echter Agentenhandlung sichtbar wackelt.

Was Anthropic gerade konkret ausrollt

Anthropic positioniert Claude in Chrome inzwischen ziemlich offensiv als Arbeitsoberfläche für Browser-Automatisierung. Laut Hilfeseite arbeitet die Erweiterung direkt mit Claude Code, Claude Desktop und Claude Cowork zusammen. Genannt werden Build-Test-Verify-Workflows, Browser-Debugging mit Zugriff auf Konsole, Netzwerk-Requests und DOM-Zustand, aufgezeichnete Workflows, Multi-Tab-Nutzung, geplante Tasks und tiefere Integrationen mit Diensten wie Gmail, Google Docs, Google Calendar oder GitHub.

Die nötigen Berechtigungen sind entsprechend weitreichend. Anthropic nennt unter anderem debugger, scripting, tabs, downloads, nativeMessaging und webNavigation. Genau das macht den Use Case praktisch stark. Genau das vergrößert aber auch den Schaden, wenn die Bestätigungsschicht nicht sauber hält.

Interessant ist dabei, dass Anthropic die Risiken nicht versteckt. In der Sicherheitsdokumentation steht ausdrücklich, dass Claude in Chrome trotz Schutzmechanismen inhärente Risiken trägt. Besonders Prompt Injection wird dort als größtes Risiko für browsernutzende KI-Tools bezeichnet. In einer Forschungsnotiz vom 24. November 2025 schreibt Anthropic sogar selbst, Prompt Injection sei keineswegs gelöst und jede besuchte Webseite ein potenzieller Angriffsvektor.

Was Manifold Security an Claude for Chrome kritisiert

Manifold Security beschreibt zwei Probleme, die zusammen ziemlich aufschlussreich sind.

Das erste Problem betrifft laut Manifold einen Click-Handler im Content Script. Demnach kann jede Browser-Erweiterung mit DOM-Zugriff auf claude.ai einen bestimmten Button einfügen und einen synthetischen Klick auslösen. Dadurch lassen sich laut Manifold vordefinierte Claude-Aufgaben anstoßen, darunter Anwendungsfälle für Gmail, Google Docs, Google Calendar, Salesforce, Zillow oder DoorDash. In der Standardkonfiguration erscheine dabei noch eine Freigabe. Wenn ein Nutzer zuvor jedoch „Act without asking“ aktiviert habe, könne Claude die Aktion laut Manifold still ausführen.

Das zweite Problem ist architektonischer. Laut Manifold startet das Side Panel in einem privilegierten Modus, wenn es mit ?skipPermissions=true geladen wird. Die Forscher bewerten das nicht als direkt remote ausnutzbar in der aktuellen Version, aber als gefährliche Struktur: Sobald irgendwo anders eine URL-Konstruktion oder eine verwandte Vertrauensgrenze bricht, wird daraus ein stiller Ausführungspfad.

Wichtig ist die Einordnung: Manifold schreibt, Anthropic habe beide Reports nach der Meldung vom 21. Mai 2026 geschlossen beziehungsweise als informativ eingeordnet. Gleichzeitig seien die relevanten Handler in Version 1.0.80 laut Manifold unverändert reproduzierbar geblieben. Eine öffentliche, detaillierte Stellungnahme Anthropics zu genau diesen beiden Punkten konnte ich in den offiziellen Quellen bisher nicht finden.

Warum das mehr ist als ein einzelner Extension-Bug

Ich finde den Fall deshalb relevant, weil hier ein bekanntes Grundproblem agentischer Systeme sehr sichtbar wird: Die eigentliche Macht des Systems liegt nicht nur im Modell, sondern in der Kette aus Berechtigung, Oberfläche, Event-Handling und Ausführung.

Wenn ein Agent E-Mails lesen, Dokumente kommentieren, Kalender prüfen, Formulare ausfüllen oder Workflows im Browser fortsetzen darf, dann reicht es nicht, dass irgendwo ein Zustimmungsdialog existiert. Entscheidend ist, ob die Software zuverlässig unterscheiden kann, was echte Nutzerabsicht ist und was nur so aussieht.

Genau daran hängt der größere Punkt. Browser-Agenten leben davon, dass sie menschliche Handlungen simulieren oder stellvertretend ausführen. Dadurch wird die Grenze zwischen „Der Nutzer wollte das“ und „Das System hat ein Signal dafür gehalten“ selbst zur Sicherheitsarchitektur. Wenn diese Grenze weich ist, wird jeder Ausbau der Agentenfähigkeit automatisch auch zum Ausbau des Risikos.

Das passt bemerkenswert gut zu Anthropics eigener Forschungslinie. Das Unternehmen sagt selbst, dass der Webkontext ein adversariales Umfeld ist und dass Browser-Agenten laufend neue Verteidigung brauchen. Die Manifold-Veröffentlichung legt nun nahe, dass nicht nur Prompt Injection problematisch bleibt, sondern auch die vorgelagerte Frage, wie Nutzerintention technisch belegt wird.

Was daran für Coding- und Workflow-Teams praktisch zählt

Für Entwickler und Teams ist die Meldung vor allem deshalb relevant, weil Claude in Chrome nicht mehr wie ein experimentelles Randfeature aussieht. Anthropic verbindet die Erweiterung inzwischen direkt mit Claude Code und Desktop-Workflows. Das ist attraktiv, etwa für UI-Tests, visuelle Verifikation, Formularflüsse oder browsernahe Fehlersuche.

Aber gerade in solchen Workflows steigt die operative Reichweite:

ein Agent sieht nicht nur Code, sondern auch echte Oberflächen und Sessions
er kann mit weitreichenden Browser-Rechten handeln
und er bewegt sich in denselben Tabs, Konten und Web-Apps, in denen oft echte Arbeitsdaten liegen

Wenn die Vertrauensgrenze an dieser Stelle unsauber ist, dann wächst der Schaden schneller als bei einem gewöhnlichen Produktivitätsfeature. Das Problem ist dann nicht nur „die Erweiterung hat einen Bug“, sondern „eine Agentenoberfläche mit Workflow-Rechten kann über eine schwache Zustimmungslogik missbraucht werden“.

Mein Fazit

Anthropic macht Claude in Chrome gerade breiter und nützlicher. Genau deshalb ist der Zeitpunkt der Manifold-Veröffentlichung so heikel. Während Anthropic die Browser-Erweiterung enger an Claude Code, Desktop und wiederkehrende Workflows bindet, zeigt die Sicherheitsdebatte, dass die wichtigste Schicht nicht nur das Modell ist, sondern die Vertrauenslogik rund um Zustimmung, Ausführung und Berechtigung.

Für mich ist das die eigentliche Nachricht: Browser-Agenten scheitern derzeit nicht nur an Prompt Injection, sondern oft schon davor an der Frage, wie belastbar „der Nutzer hat das wirklich gewollt“ technisch nachgewiesen wird.

Je mehr KI-Agenten echte Oberflächen bedienen, desto weniger reicht gutes Modellverhalten allein. Dann entscheidet die Qualität der Zustimmungsgrenze darüber, ob aus einem nützlichen Browser-Agenten eine belastbare Arbeitsoberfläche wird oder nur ein sehr mächtiges Experiment.

Weiterführende Beiträge auf menzel.works

Quellen

Anthropic Help Center: Release notes, abgerufen am 21.07.2026
Anthropic Help Center: Get started with Claude in Chrome, abgerufen am 21.07.2026
Anthropic Help Center: Use Claude in Chrome safely, abgerufen am 21.07.2026
Anthropic Research: Mitigating the risk of prompt injections in browser use (24.11.2025)
Manifold Security: ClaudeBleed Reopened: Browser Extensions Can Still Push Claude for Chrome to Read Your Gmail (14.07.2026, Update 20.07.2026)

KI-Hinweis: Dieser Beitrag wurde mit KI-Unterstützung recherchiert, strukturiert und formuliert.

Frage zu diesem Inhalt?

Kurz schreiben.

Kontakt