I ricercatori mostrano come Claude Desktop potrebbe essere sfruttato per aiutare gli attaccanti ad accedere al sistema

Pentera Labs afferma che il suo team di red team è riuscito a trasformare Claude Desktop di Anthropic in un partecipante inconsapevole a un’intrusione, utilizzando un account e-mail compromesso e il comportamento di sincronizzazione dell’app per indirizzare l’IA verso azioni malevole. L’azienda ha dichiarato che l’esperimento dimostra come gli assistenti IA affidabili possano essere manipolati fino ad aiutare un attaccante anziché proteggere l’utente.

Secondo i ricercatori, la catena d’attacco è iniziata con l’accesso a una piattaforma di aggregazione di e-mail di terze parti. Da lì, hanno utilizzato una casella di posta compromessa per raggiungere l’account Claude della vittima. Il metodo impiegato per compromettere la casella di posta non è stato divulgato, ma i ricercatori hanno affermato che lo stesso approccio potrebbe funzionare tramite phishing, ingegneria sociale, abuso della procedura di reimpostazione della password o altre forme di acquisizione dell’account.

Come ha funzionato l’abuso

Pentera ha dichiarato di essersi concentrata su Claude Desktop perché l’app sincronizza le impostazioni dell’account tra dispositivi e sessioni. Il team ha inserito un prompt codificato in base64 nelle impostazioni di personalizzazione della vittima, condivise tra tutti i dispositivi associati all’account. Quando l’utente ha successivamente aperto Claude Desktop, quelle istruzioni nascoste sono state caricate automaticamente ed eseguite in background durante le normali interazioni in chat.

Se sulla macchina era già installata un’estensione o un connettore in grado di eseguire comandi, le istruzioni iniettate potevano indicare a Claude di utilizzarlo per eseguire comandi controllati dall’attaccante. In questo scenario, Pentera ha affermato che il risultato avrebbe potuto essere l’esecuzione di codice da remoto e la compromissione completa della workstation.

Se tale strumento non era presente, i ricercatori hanno dichiarato che Claude poteva comunque essere sfruttato come livello di distribuzione per il phishing. Il prompt induceva l’assistente a visualizzare un messaggio di errore dall’aspetto realistico, completo di un codice e di un link che sembrava offrire una soluzione. Poiché gli utenti tendono a fidarsi del proprio assistente IA, i ricercatori hanno affermato che potrebbero essere più propensi a seguire le istruzioni e installare software malevolo.

Una volta ottenuta l’esecuzione del codice, Pentera ha dichiarato che il modello poteva essere utilizzato per recuperare comandi da un server controllato dall’attaccante, creando un canale persistente per ulteriori attività quali il furto di dati, la raccolta di credenziali o la distribuzione di payload aggiuntivi.

I ricercatori hanno affermato che il test si è concluso con la compromissione di una workstation per sviluppatori che aveva accesso ai sistemi interni, consentendo ulteriori spostamenti all’interno dell’ambiente. Secondo loro, l’esercitazione dimostra che gli strumenti di IA agentica dotati di funzionalità di esecuzione locale possono diventare una superficie d’attacco se il loro modello di fiducia viene sfruttato.

I ricercatori di Pentera hanno dichiarato che questa esperienza li ha spinti a ricontrollare i propri ambienti, osservando che gli assistenti IA dovrebbero essere trattati con la stessa cautela riservata a qualsiasi altro software con privilegi su un endpoint.