Pentera Labs cảnh báo rủi ro biến Claude Desktop thành tác nhân thực thi lệnh ngầm
"Pentera Labs researchers demonstrated that a compromised email inbox and Claude Desktop’s synced personalization settings could be abused to turn the AI assistant into a covert execution layer on a developer’s machine. By injecting a base64-encoded prompt, they showed paths to command execution, reverse shells, credential theft, and a phishing-like flow that could trick users into installing attacker-controlled tooling; Anthropic said the behavior was expected functionality, not a security bug. No CVE was reported, and the researchers recommended treating AI desktop apps as privileged software, restricting extensions/tools, and monitoring synced configuration changes."
Rủi ro cho phép kẻ tấn công đạt thực thi lệnh từ xa và mở đường cho trộm cắp thông tin/chiếm quyền khi người dùng tin vào trợ lý AI; điểm mấu chốt là đồng bộ preferences và khả năng dùng MCP/connector để chạy lệnh.
Tác động có thể mở rộng từ một máy trạm của nhà phát triển sang hệ thống nội bộ và môi trường cloud do nhà phát triển thường có quyền truy cập dữ liệu nhạy cảm; cần ưu tiên giảm bề mặt tấn công cho ứng dụng AI desktop và kiểm soát cài đặt để hạn chế gián đoạn vận hành.
Pentera Labs cho biết nhóm red team đã khai thác hộp thư email bị xâm nhập và cơ chế đồng bộ cài đặt cá nhân hóa của Claude Desktop để chuyển trợ lý AI thành một lớp thực thi lệnh trên máy của nhà phát triển. Chuỗi tấn công bắt đầu từ việc chiếm quyền truy cập vào tài khoản qua một nền tảng tổng hợp email bên thứ ba, sau đó đưa các chỉ dẫn độc hại vào preferences của Claude Desktop.
Theo báo cáo, kẻ tấn công chèn một prompt mã hóa base64 để Claude kiểm tra các công cụ/tiện ích có khả năng thực thi lệnh trên máy nạn nhân. Nếu tồn tại, Claude có thể dùng chúng để khởi chạy reverse shell hoặc thực thi mã độc; nếu không, Claude hiển thị một “thông báo lỗi” giả mạo kèm liên kết và hướng dẫn kiểu phishing, nhằm dụ người dùng tải công cụ do kẻ tấn công kiểm soát.
Anthropic phản hồi rằng đây là hành vi theo thiết kế (không phải lỗ hổng bảo mật), vì các personal preferences và MCP connectors được xem là tính năng có thể thực thi mã thông qua Claude Desktop.
Khuyến nghị: coi ứng dụng AI desktop như phần mềm đặc quyền, giới hạn extension/tools, giám sát thay đổi cấu hình đồng bộ, và cân nhắc chạy trong sandbox thay vì trên máy cá nhân.