AI 安全研究團隊近日發(fā)現(xiàn) Anthropic 推出的 AI 協(xié)作新功能—— 存在嚴重安全風(fēng)險，可能導(dǎo)致用戶文件被攻擊者遠程提取。

Claude Cowork 是 Anthropic 針對非技術(shù)用戶推出的智能辦公代理工具，可通過自然語言指令對本地文件夾進行讀寫、整理、分析等操作。這讓 AI 不再是簡單的聊天機器人，而是可執(zhí)行任務(wù)的數(shù)字助手。

安全分析顯示，在某些條件下，攻擊者能借助“間接提示注入”（Indirect Prompt Injection）漏洞操控 Claude Cowork 將用戶本地文件上傳至攻擊者控制的后臺賬戶。

攻擊流程大致如下：

1. 用戶授權(quán) Cowork 訪問本地文件夾（如包含敏感文件的文件夾）。

2. 攻擊者構(gòu)造含有隱藏指令的惡意文件并誘導(dǎo)用戶上傳。

3. 當(dāng) Cowork 處理這些文件時，嵌入的惡意指令會被觸發(fā)，指示 Claude 向外發(fā)送文件數(shù)據(jù)。

4. 利用一個攻擊者自帶的 API 密鑰，Claude 會借助允許的 Anthropic API 上傳這些文件，不需要用戶額外確認。

5. 攻擊者隨后可以通過自己的 Anthropic 賬號訪問或分析這些文件數(shù)據(jù)。

這類攻擊不需要用戶直接執(zhí)行代碼，僅憑上傳文件就能完成整個數(shù)據(jù)竊取過程。安全分析指出，這種風(fēng)險源于以下技術(shù)原因：

• Claude Cowork 的運行環(huán)境允許訪問指定本地文件夾并解析用戶提供的文件。

• Claude 所在的虛擬機為 API 訪問設(shè)置了“白名單”，其中包含 Anthropic 官方的文件 API。這意味著，通過這個 API 向 Anthropic 上傳文件不會被阻止。

• 惡意提示可以讓 Claude 運行嵌入在文件中的請求，從而繞過常規(guī)安全防護。

Anthropic 在發(fā)布 Cowork 時提醒用戶，這項功能仍處于“研究預(yù)覽”階段，并存在未知風(fēng)險，需要謹慎使用。尤其建議不要授權(quán)訪問包含敏感信息的文件。不過安全研究者指出，將防護責(zé)任完全交給用戶并不現(xiàn)實，特別是面對隱藏得很深的提示注入攻擊。

https://www.promptarmor.com/resources/claude-cowork-exfiltrates-files