来源笔记
Red teamers turned Claude Desktop into a double agent to do their evil bidding
AI Agent SecurityClaude DesktopRemote Code ExecutionMCP ConnectorsDeveloper Workstations
摘要
Pentera Labs 展示了一个被攻破的 Claude 账户如何把 Claude Desktop 变成开发者工作站上的远程代码执行路径。这个攻击值得关注，因为 Claude Desktop 会把账户偏好同步到本地应用，而这些本地应用可能拥有工具或命令访问权限。
问题
- 攻击者如果控制了受害者的邮箱，就可以进入 Claude 账户，然后修改已同步的 Claude 偏好设置，无需直接接触工作站。
- 开发者工作站通常保存 API 密钥、令牌、云凭据和源代码，因此一台主机被攻破就可能带来对内部系统的访问权限。
- 带有 MCP 连接器的 AI 桌面应用可以读取文件、使用工具并运行命令，这使同步的提示词设置成了一个安全边界。
方法
- 该攻击需要 2 个条件：邮箱或 Claude 账户被攻破，以及受害者机器上安装了 Claude Desktop。
- 研究人员把一段 base64 编码的指令粘贴到 Claude 个人偏好中；随后 Claude 将该设置同步到用户的各台设备。
- 隐藏指令让 Claude 检查是否存在具备命令能力的工具，包括 Desktop Commander 或类似的 MCP 连接器。
- 如果存在这类工具，Claude 就用它运行攻击者命令。如果不存在，Claude 会显示一个带有下载链接和说明的假错误，诱导用户安装具备命令能力的工具。
- 该载荷在每次交互时联系研究人员控制的服务器，获取 bash 命令并执行，从而给研究人员提供一个可变更的命令通道。
结果
- 研究人员称，在满足 2 个前提条件后，他们通过 Claude Desktop 在一台开发者机器上实现了完整远程代码执行。
- 该攻击路径适用于文章中点名的 3 个操作系统上的 Claude Desktop：macOS、Windows 和 Linux。
- 2025 年 11 月的测试需要工具枚举和假错误钓鱼；文章称，1 月加入的 Claude Cowork 会去掉这个阶段，因为它可以在用户的电脑上执行操作。
- 报告没有给出基准测试、成功率、样本量或攻破耗时指标。
- Anthropic 审阅了该报告，并表示这种行为是预期功能，因为按照设计，个人偏好、skills 和 MCP 连接器可以通过 Claude Desktop 执行代码。