Des chercheurs montrent comment Claude Desktop pourrait être détourné pour aider des attaquants à accéder aux systèmes

Pentera Labs affirme que son équipe de red team a réussi à transformer Claude Desktop d’Anthropic en participant involontaire à une intrusion, en utilisant un compte de messagerie compromis et le comportement de synchronisation de l’application pour orienter l’IA vers des actions malveillantes. L’entreprise indique que cette expérience montre comment des assistants IA de confiance peuvent être manipulés afin d’aider un attaquant plutôt que de protéger l’utilisateur.

Selon les chercheurs, la chaîne d’attaque a commencé par un accès à une plateforme tierce d’agrégation de courriels. Ils ont ensuite utilisé une boîte de réception compromise pour accéder au compte Claude de la victime. La méthode employée pour compromettre la boîte de réception n’a pas été divulguée, mais les chercheurs indiquent que la même approche pourrait fonctionner au moyen d’hameçonnage, d’ingénierie sociale, d’un abus de la réinitialisation de mot de passe ou d’une autre prise de contrôle de compte.

Comment le détournement fonctionnait

Pentera indique s’être concentrée sur Claude Desktop, car l’application synchronise les paramètres du compte entre les appareils et les sessions. L’équipe a inséré une invite encodée en base64 dans les paramètres de personnalisation de la victime, qui sont partagés sur l’ensemble du compte. Lorsque l’utilisateur ouvrait ensuite Claude Desktop, ces instructions cachées étaient automatiquement chargées et exécutées en arrière-plan pendant les conversations normales.

Si la machine disposait déjà d’une extension ou d’un connecteur capable d’exécuter des commandes, les instructions injectées pouvaient demander à Claude de l’utiliser pour exécuter des commandes contrôlées par l’attaquant. Dans ce scénario, Pentera affirme que le résultat pouvait être une exécution de code à distance et une compromission complète du poste de travail.

Si aucun outil de ce type n’était présent, les chercheurs indiquent que Claude pouvait tout de même être détourné comme couche de diffusion pour de l’hameçonnage. L’invite amenait l’assistant à afficher un message d’erreur d’apparence réaliste, accompagné d’un code et d’un lien semblant proposer une solution. Les utilisateurs ayant tendance à faire confiance à leur assistant IA, les chercheurs estiment qu’ils pourraient être davantage enclins à suivre les instructions et à installer un logiciel malveillant.

Une fois l’exécution de code obtenue, Pentera indique que le modèle pouvait être utilisé pour récupérer des commandes depuis un serveur contrôlé par l’attaquant, créant ainsi un canal persistant permettant d’effectuer d’autres actions, comme le vol de données, la collecte d’identifiants ou la diffusion de charges malveillantes supplémentaires.

Les chercheurs indiquent que le test s’est achevé par la compromission du poste de travail d’un développeur qui avait accès à des systèmes internes, permettant de poursuivre les déplacements au sein de l’environnement. Ils estiment que cet exercice montre que les outils d’IA agentique dotés de capacités d’exécution locale peuvent devenir une surface d’attaque si leur modèle de confiance est détourné.

Les chercheurs de Pentera indiquent que cette expérience les a incités à réexaminer leurs propres environnements, soulignant que les assistants IA doivent être traités avec la même prudence que tout autre logiciel privilégié installé sur un terminal.