Специалисты по безопасности выявили критическую уязвимость в новом агентном ИИ-сервисе Claude Cowork от Anthropic — спустя всего два дня после релиза.
Исследователи PromptArmor обнаружили, что Claude Cowork подвергается атаке с помощью скрытой подстановки подсказок (prompt injection): злоумышленник может получить доступ к конфиденциальным файлам пользователя. Для этого используется изолированный программный модуль Claude, который остался уязвимым, несмотря на то, что о проблеме уже сообщалось ранее. Исследователь Иоганн Рехбергер находил этот баг в Claude.ai; его раскрыло сообщество, Anthropic признала наличие дефекта, но, по словам PromptArmor, проблему не устранили.
Сценарий атаки работает так: пользователь подключает Cowork к локальной папке с личными файлами, а злоумышленник помещает в её содержимое файл со скрытой вредоносной подсказкой.
В качестве приманки используется документ .docx с внедренной подсказкой, который выглядит как “skill” — новый шаблон для работы с дополнениями, только что добавленный в Claude Cowork. Подобные файлы уже появились в открытом доступе, поэтому эксперты советуют не скачивать их с непроверенных источников.
Вредоносный текст маскируется с помощью шрифта размером 1 и белым текстом на белом фоне — он практически не виден человеку. Когда пользователь просит Cowork проанализировать этот “skill”, внедренная команда активируется и заставляет ИИ отправить самый крупный файл из папки на сервер Anthropic через API с ключом атакующего. Процесс происходит без участия пользователя, файлы сразу оказываются в руках злоумышленника.
Эксперимент проводился на самой простой версии Claude Haiku и на флагманской Opus 4.5 — обе модели без труда “повелись” на атаку. В одном из тестов файловое руководство было заражено подсказкой; данные пользователя отправились через разрешённый домен Anthropic API, обходя все стандартные ограничения песочницы.
Также специалисты обнаружили баг, из-за которого возникал отказ в обслуживании: если расширение файла отличалось от реального типа содержимого, API начинал выдавать ошибку во всех следующих сессиях переписки.
Anthropic раньше сообщала, что на создание Cowork ушло всего полторы недели; сервис полностью разработал ИИ Claude Code. Новые баги вызывают вопросы о том, насколько серьезно компания подходила к вопросам безопасности при такой скорости разработки.
Подстановочные атаки остаются неразрешённой проблемой для индустрии ИИ: попытки предотвратить их пока не дали результата. Даже самая защищённая, по заявлениям Anthropic, модель Opus 4.5 легко поддаётся взлому.
Сервис Cowork изначально разработан для работы с локальными папками и разными источниками данных, что увеличивает число путей для атаки. В отличие от фишинга, который пользователь может распознать, тут обычные люди не поймут, что подверглись атаке.
Исследование также показало, что чем больше самостоятельности получает ИИ, тем шире набор угроз. Этот вывод уже подтверждался предшествующими публикациями по теме.
