Исследователи по безопасности выявили критическую уязвимость в расширениях Claude Desktop Extensions (DXT) от Anthropic. Один изменённый объект в Google Calendar позволяет выполнить произвольный код на компьютере пользователя без какого‑либо взаимодействия с его стороны. Anthropic, по данным специалистов, не планирует устранять проблему.
По информации компании LayerX, уязвимость получила оценку 10 из 10 по шкале CVSS, что соответствует максимальной степени опасности. Под угрозой находятся более 10 000 активных пользователей и около 50 расширений DXT.
Claude Desktop Extensions — это дополнения из маркетплейса Anthropic, построенные на открытом стандарте Model Context Protocol (MCP). MCP позволяет ИИ‑модели подключаться к внешним сервисам и данным. Через такие расширения Claude интегрируется с Google Calendar, почтой и локальными утилитами на компьютере, работая по принципу браузерных плагинов с установкой в один клик.
Однако, как отмечает LayerX, в отличие от браузерных расширений, которые работают в изолированной среде и не имеют прямого доступа к операционной системе, DXT‑расширения выполняются без изоляции и с полными системными правами. Они могут читать любые файлы, запускать системные команды, получать сохранённые учётные данные и менять настройки ОС. В LayerX называют их «привилегированными мостами выполнения» между языковой моделью Claude и локальной системой.
По словам исследователей, основная проблема в том, как Claude самостоятельно выбирает и комбинирует установленные расширения. Когда пользователь формулирует запрос, модель сама подбирает и связывает инструменты для выполнения задачи.
LayerX утверждает, что нет встроенных механизмов, которые бы не позволили данным из «безопасного» сервиса вроде Google Calendar напрямую попасть в локальный инструмент с правами на выполнение кода. Ясной границы между безвредными действиями и потенциально опасными операциями фактически нет.
Описанная LayerX атака не использует маскировку или скрытые инструкции. Всё начинается с обычного запроса пользователя: «Проверь мои последние события в Google Calendar и позаботься об этом».
Человек прочитал бы это как просьбу разобраться с расписанием. По данным LayerX, Claude интерпретировал расплывчатое «позаботься об этом» как сигнал исполнить локальный код через расширение.
Для атаки достаточно события в календаре с названием «Task Management» и двумя инструкциями: скачать код по заданному URL и запустить его на компьютере. Никаких диалогов подтверждения не появляется, дополнительное действие от пользователя не требуется. В результате злоумышленник получает полный контроль над машиной жертвы.
LayerX уведомила Anthropic об уязвимости. По словам исследователей, компания решила не устранять её. Такое поведение признано соответствующим изначальной архитектуре, где цель — максимальная автономность и взаимодействие расширений между собой. Исправление ограничило бы свободу комбинирования инструментов и снизило бы полезность агента.
Рекомендация LayerX однозначна: до появления серьёзных механизмов защиты MCP‑расширения не стоит использовать на системах, где важна безопасность. Исследователь по безопасности Рой Паз пишет: «Событие в календаре никогда не должно ставить под угрозу конечное устройство».
Ситуация отражает давний конфликт между возможностями ИИ и требованиями кибербезопасности. Удо Шнайдер, руководитель по Governance, Risk & Compliance в Европе в Trend Micro, отмечает, что современные языковые модели не умеют отличать содержимое от инструкций: всё входящее для них — просто текст. Те же механизмы, которые обеспечивают творческие ответы, делают систему уязвимой к выполнению внешних указаний.
По словам Шнайдера, ИИ‑агенты усугубляют проблему: они сложнее и действуют более автономно. Агент Claude Cowork от Anthropic и активно обсуждаемый агент OpenClaw уже демонстрировали подобные риски, как и ряд других систем.
Шнайдер ссылается на правило безопасности: агенты должны одновременно использовать только две из четырёх групп возможностей — внешняя коммуникация, доступ к чувствительным данным, обработка недоверенного контента и долговременное хранение. На практике агенты часто используют все четыре, так как это делает их более мощными.
«Чем больше задействовано возможностей, тем выше риск. Однако, если риск принимают осознанно и контролируют, возражать почти не к чему, — говорит Шнайдер. — Проблема в том, что многое используется без системы и под влиянием общего ажиотажа».
По оценке Шнайдера, решение Anthropic сознательно не закрывать уязвимость подтверждает этот конфликт: для ИИ‑агентов безопасность и полезность находятся в прямом противоречии.
Источник: The Decoder
