Claude in Chrome wird allgemein verfügbar – mit Warnungen vor Prompt-Injection

Anthropic hat Claude in Chrome von der eingeschränkten Preview in die allgemeine Verfügbarkeit überführt. Die Release Notes zu Claude Code vom 2. Juli führen die Version 2.1.198 mit der Zeile „Claude in Chrome launched as generally available“ auf, neben Hintergrundbenachrichtigungen und einer Draft-PR-Übergabe für Agenten-Workflows. Damit endet ein langer Rollout: Die Erweiterung startete im August 2025 als Research Preview, wurde im Dezember 2025 für alle kostenpflichtigen Tarife geöffnet und erreicht nun die allgemeine Verfügbarkeit.

Was sie leistet

Die Erweiterung lässt Claude in Ihrem Browser agieren, statt nur Fragen dazu zu beantworten. Laut Anthropics Produktseite kann Claude „navigate, click buttons, and fill forms on Chrome“ – Zahlen aus einem Analytics-Dashboard ziehen, Dateien in Google Drive organisieren oder ein Verkaufsgespräch in einem CRM protokollieren, ohne dass Sie den Tab wechseln. Sie verbindet sich außerdem mit Claude Code, sodass ein Agent im Rahmen einer Entwicklungs- oder Testschleife eine Live-Seite steuern kann, sowie mit Cowork, um Webrecherche in fertige Dokumente zu verwandeln.

Für alle, die Software bauen, ist der nützliche Teil die Feedback-Schleife: Ein Agent, der Ihre App in einem echten Browser öffnen, einen Ablauf durchklicken und lesen kann, was tatsächlich gerendert wurde, kann seine eigenen Änderungen überprüfen, statt zu raten.

Der Sicherheitsvorbehalt steht ganz vorne

Anthropic ist ungewöhnlich deutlich, was das Risiko angeht. Dieselbe Produktseite warnt, dass „malicious actors might try to trick Claude into unintended actions, such as sharing your bank information or deleting important files“ – eine Angriffsklasse, die Prompt-Injection genannt wird und bei der versteckte Anweisungen auf einer Seite oder in einem Dokument die Aufgabe des Agenten kapern. Anthropic rät Nutzern, mit vertrauenswürdigen Seiten zu beginnen, sensible Aktionen vor der Freigabe zu prüfen und auf ungewöhnliches Verhalten zu achten, und fügt unmissverständlich hinzu, dass die Schutzmaßnahmen „aren't foolproof“.

Diese Warnungen beruhen auf dem eigenen Red-Teaming des Unternehmens. Als Anthropic die Erweiterung erstmals pilotierte, führte Claude in 23,6 % von 123 Angriffsszenarien ohne Schutzvorkehrungen eine bösartige Aktion aus; gestaffelte Abwehrmaßnahmen senkten diesen Wert insgesamt auf 11,2 %, und eine bestimmte Klasse von Exploits über Formularfelder sank von 35,7 % auf 0 %. Besser, aber nicht null – und Anthropic hat erklärt, dass breites, autonomes Browsen weiterhin ein Restrisiko birgt.

Nicht nur ein Anthropic-Problem

Der Zeitpunkt stellt Claude neben ein dicht besetztes Feld agentischer Browser – OpenAIs Atlas mit Agent Mode, Perplexitys Comet, Microsofts Copilot Mode in Edge und einen experimentellen Gemini-Agenten in Chrome. Jeder von ihnen steht vor demselben strukturellen Problem. OpenAI hat unumwunden erklärt, dass Prompt-Injection „unlikely to ever be fully 'solved'“ sei, und als Reaktion auf neue, in internen Tests gefundene Angriffe ein adversarisch trainiertes Modell für Atlas ausgeliefert.

Die praktische Erkenntnis für alle, die diese Woche einen Browser-Agenten aktivieren: Behandeln Sie ihn wie einen mächtigen, aber leichtgläubigen Assistenten. Lassen Sie ihn auf Seiten, denen Sie vertrauen, geben Sie folgenreiche Klicks selbst frei und lassen Sie ihn niemals bei Ihrer Bank oder Ihrer Produktions-Konsole angemeldet, während er im offenen Web unterwegs ist. Der Komfort ist real; ebenso der Wirkungsradius, wenn eine Seite ihn belügt.