Betroffen war die automatische Vorschau von Claude Code Desktop, die Entwicklern HTML-Dateien in Echtzeit anzeigt, die die Plattform erzeugt oder verändert hat. Nach Analyse von Noma ließen sich drei Schwächen in der Architektur der Vorschau verketten und damit sämtliche eingebauten Sandbox-Schutzmechanismen aushebeln, auf die sich Nutzer verlassen hatten:

  • eine fehlende Content Security Policy
  • uneingeschränkter Zugriff auf beliebige Origins
  • inaktive Filterung von Anfragen

„Ein Angreifer könnte ein normal aussehendes öffentliches Code-Repository bereitstellen, das eine HTML-Datei enthält, die über 256 KB hinaus aufgefüllt ist und ein bösartiges Skript eingebettet hat“, schreibt Eli Ainhorn, Senior AI Vulnerability Researcher bei Noma, in dem Bericht. „Wenn ein Entwickler Claude Code bat, die Datei zu prüfen oder zu bearbeiten, stellte die Vorschau das Dokument automatisch dar und löste damit eine stille Exfiltration von Zugangsdaten im Hintergrund aus.“

Das Skript konnte AWS- und GitHub-Zugangsdaten, API-Schlüssel sowie Claudes eigene OAuth-Tokens abgreifen – ebenso wie weitere auf dem Rechner vorhandene Geheimnisse. Eine Interaktion des Entwicklers war nicht nötig; dieser ging davon aus, in einer geschützten, abgeschotteten Umgebung zu arbeiten.

Nach der von Noma veröffentlichten Zeitleiste wurde die Schwachstelle Anthropic am 4. Juli gemeldet, das Unternehmen veröffentlichte am 9. Juli einen ersten Fix. Bei einem erneuten Test am 24. Juli fand Noma jedoch eine Umgehung dieses Fixes, woraufhin Anthropic tiefergehende architektonische Änderungen vornahm. Der endgültige Patch wurde am 17. August ausgeliefert, der Sicherheitshinweis folgte in diesem Monat. Anthropic und Noma arbeiteten nach Angaben der Noma-Forscher bei Offenlegung und Behebung zusammen.

Ainhorn rechnet damit, dass weitere solcher unauffälligen Schwachstellen in Umgebungen auftauchen, die als sicher gelten – so wie die Vorschau-Sandbox von Claude Code Desktop. „Ich denke, die Ankündigung von Satya (Nadella) diese Woche auf X und die Erklärung von Anthropic heute weisen zusammen mit den Schwachstellen, die wir in den vergangenen Monaten gesehen haben, klar in diese Richtung“, sagte er. Er bezieht sich dabei auf einen Beitrag des Microsoft-Chefs, in dem dieser eine „Notbremse“ für KI-Cybersicherheit fordert und dazu rät, Modelle als kompromittiert zu behandeln, sowie auf eine Studie von Anthropic, der zufolge Bots sich selbst replizieren und über improvisierte Netze aus IoT-Geräten künftige KI-Wurmangriffe bilden können.

„Die Unternehmen, auf die man bei Erstellung und Bereitstellung des Modells angewiesen ist, können nicht zugleich der eigene Sicherheitsanbieter sein“, so Ainhorn. „Oder sie können eine Grundabsicherung liefern, aber man kann sich nicht darauf verlassen, dass sie der einzige Sicherheitsanbieter sind.“

Als wirksamsten Schutz nennt Ainhorn ein aggressives, automatisiertes Patch-Programm und verändertes Verhalten auf Entwicklerseite: „Coding-Anwendungen müssen aktuell gehalten werden, und langlebige Zugangsdaten müssen von Entwicklerrechnern ferngehalten werden“, sagt er, „aber robuste Sicherheitslösungen, die sowohl ganzheitliche Sichtbarkeit als auch Laufzeitschutz bieten, sind kein Nice-to-have mehr, sondern zum De-facto-Standard für jedes Unternehmen mit autonomen Agenten im Produktivbetrieb geworden.“