Betroffen sind die DOCX-, PPTX- und XLSX-Skills, mit denen Claude Word-Dokumente, PowerPoint-Präsentationen und Excel-Tabellen erstellt, liest, bearbeitet und verarbeitet. Die Ursache liegt im Hilfsskript soffice.py. Es startet LibreOffice, um Dokumente zu konvertieren und etwa Word-Dateien als PDF auszugeben. Lassen sich in der Umgebung keine Unix-Domain-Sockets öffnen, greift das Skript auf eine Ausweichlösung zurück: Es lädt über den Linux-Mechanismus LD_PRELOAD eine Shared Library.
Dabei prüft das Skript, ob in einem gemeinsam genutzten temporären Verzeichnis bereits eine Bibliothek namens lo_socket_shim.so liegt. Woher sie stammt und was sie enthält, kontrolliert es nicht. Gelingt es einem Angreifer, vor der nächsten Dokumentverarbeitung dort eine bösartige Bibliothek abzulegen, kann sein Code in LibreOffice geladen und ausgeführt werden, und zwar mit den Rechten des Benutzers, unter dem der KI-Agent läuft.
„Ein Angreifer bringt eine einzige bösartige Datei in einen gemeinsamen temporären Ordner, den viele Programme nutzen. Wenn ein Mitarbeiter Claude das nächste Mal um ein Dokument bittet, lädt der vertrauenswürdige Skill von Anthropic diese Datei und führt sie aus“, erklärte Niv Hoffman, Mitgründer und CTO von AIR Research Lab.
Verwundbar sind Linux-Umgebungen, in denen Unix-Sockets blockiert sind. Dazu gehören bestimmte Sicherheitskonfigurationen von Containern und die Sandbox von Claude Code. macOS ist nach Angaben von AIR Security nicht betroffen, weil die Bibliothek dort nicht über LD_PRELOAD geladen wird.
Die Forscher führten zwei Angriffswege vor:
- Sie legten die bösartige Bibliothek von Hand in das temporäre Verzeichnis und ließen Claude Code anschließend ein Dokument erzeugen.
- Sie entpackten die Datei mit einem anderen, scheinbar harmlosen KI-Skill in dasselbe Verzeichnis. Als danach der Skill zur Dokumentverarbeitung lief, wurde die Bibliothek automatisch geladen.
Vor allem das zweite Szenario sei für Sicherheitsteams in Unternehmen heikel, weil es zeige, wie sich einzeln unauffällige Skills zu einer Angriffskette verbinden lassen. Ein bösartiger oder kompromittierter Skill müsse das Dokumentwerkzeug gar nicht selbst angreifen. Es reiche, eine Datei abzulegen, die eine andere vertrauenswürdige Komponente dann ausführt. Hoffman zufolge wissen Unternehmen oft nicht, welche Skills und anderen Agenten-Erweiterungen bei ihnen installiert sind. Ihnen fehle auch ein Notschalter, um eine verwundbare Erweiterung zu entfernen oder zu patchen. Für Unternehmen mit Linux sei die Lücke ein ernstes Problem, weil sie die Standard-Skills betreffe, die alle Claude-Agenten nutzen. Davon gebe es Hunderte Millionen, und eine einzige platzierte Datei könne sie dazu bringen, Angreifercode mit den Zugriffsrechten des Mitarbeiters auszuführen.
AIR entdeckte die Lücke im Mai und meldete sie an Anthropic. Das Unternehmen bestätigte den Fehler, sieht ihn aber nach Angaben der AIR-Forscher Omri Saxena und Or Nevo außerhalb seiner Sicherheitsgrenze, weil der verwundbare Code nur in einer Sandbox laufe. Das Hilfsskript verwendet deshalb weiterhin denselben festen Pfad und lädt jede Datei, die es dort vorfindet. Hoffman hält diese Begründung für unzureichend: Auch wenn die Skills in einer Sandbox laufen, werde der Angreifercode dort mit den Berechtigungen des Benutzers ausgeführt, also dort, wo dessen Dateien und Arbeit ohnehin liegen. Eine Anfrage, ob Anthropic doch noch etwas unternehmen will, ließ das Unternehmen zunächst unbeantwortet.
AIR rät Unternehmen, die KI-Agenten und Coding-Assistenten einsetzen, KI-Skills als Software-Abhängigkeiten zu behandeln und entsprechend abzusichern, statt sie als vertrauenswürdige Erweiterungen anzusehen. Hoffman empfiehlt ein laufend gepflegtes Verzeichnis aller Skills und Add-ons, die Mitarbeiter in ihren Agenten nutzen. Auch offizielle Skills sollten wie jeder andere Code geprüft werden. Wird eine neue Schwachstelle veröffentlicht, sollte der gesamte Bestand aktualisiert oder gepatcht werden.