Forscher zeigen, wie Claude Desktop missbraucht werden könnte, um Angreifern Zugriff auf ein System zu verschaffen

Pentera Labs zufolge konnte das Red Team des Unternehmens Anthropic Claude Desktop in einen ahnungslosen Beteiligten an einem Eindringen verwandeln. Dazu nutzte es ein kompromittiertes E-Mail-Konto und das Synchronisierungsverhalten der App, um die KI zu bösartigen Aktionen zu veranlassen. Das Unternehmen erklärte, das Experiment zeige, wie vertrauenswürdige KI-Assistenten manipuliert werden können, sodass sie einem Angreifer helfen, anstatt den Benutzer zu schützen.

Den Forschern zufolge begann die Angriffskette mit dem Zugriff auf eine Plattform zur Aggregation von E-Mails von Drittanbietern. Von dort aus nutzten sie einen kompromittierten Posteingang, um das Claude-Konto des Opfers zu erreichen. Wie der Posteingang kompromittiert wurde, legten sie nicht offen. Die Forscher erklärten jedoch, dass derselbe Ansatz über Phishing, Social Engineering, den Missbrauch von Verfahren zur Passwortzurücksetzung oder andere Kontoübernahmen funktionieren könnte.

So funktionierte der Missbrauch

Pentera erklärte, das Unternehmen habe sich auf Claude Desktop konzentriert, weil die App Kontoeinstellungen geräte- und sitzungsübergreifend synchronisiert. Das Team fügte einen Base64-kodierten Prompt in die Personalisierungseinstellungen des Opfers ein, die kontoweit geteilt werden. Wenn der Benutzer Claude Desktop später öffnete, wurden diese versteckten Anweisungen automatisch geladen und liefen während normaler Chat-Interaktionen im Hintergrund.

Wenn auf dem Computer bereits eine Erweiterung oder ein Connector mit der Fähigkeit zur Befehlsausführung installiert war, konnten die eingeschleusten Anweisungen Claude dazu veranlassen, dieses Tool zur Ausführung von durch den Angreifer kontrollierten Befehlen zu verwenden. In diesem Szenario, so Pentera, wären die Remotecodeausführung und die vollständige Kompromittierung des Arbeitsplatzrechners möglich.

Wenn kein solches Tool vorhanden war, konnten die Forscher Claude ihren Angaben zufolge dennoch als Übertragungsschicht für Phishing missbrauchen. Der Prompt veranlasste den Assistenten, eine realistisch wirkende Fehlermeldung mit einem Code und einem Link anzuzeigen, der scheinbar eine Lösung anbot. Da Benutzer ihrem KI-Assistenten in der Regel vertrauen, könnten sie laut den Forschern eher geneigt sein, den Anweisungen zu folgen und Schadsoftware zu installieren.

Sobald die Codeausführung erreicht war, konnte Pentera zufolge das Modell dazu verwendet werden, Befehle von einem vom Angreifer kontrollierten Server abzurufen. Dadurch entstand ein persistenter Kanal für weitere Aktionen wie Datendiebstahl, das Abgreifen von Zugangsdaten oder die Übertragung zusätzlicher Payloads.

Die Forscher erklärten, der Test habe mit der Kompromittierung eines Entwicklerarbeitsplatzes geendet, der Zugriff auf interne Systeme hatte und dadurch weitere Bewegungen innerhalb der Umgebung ermöglichte. Ihrer Ansicht nach zeigt das Experiment, dass agentische KI-Tools mit lokalen Ausführungsfunktionen zu einer Angriffsfläche werden können, wenn ihr Vertrauensmodell missbraucht wird.

Die Forscher von Pentera erklärten, die Erfahrung habe sie dazu veranlasst, ihre eigenen Umgebungen erneut zu überprüfen. Dabei wiesen sie darauf hin, dass KI-Assistenten mit derselben Vorsicht behandelt werden sollten wie jede andere privilegierte Software auf einem Endpunkt.