Luka w Claude Desktop pozwalała spreparowanemu linkowi automatycznie wysłać do agenta AI instrukcje napisane przez atakującego, bez naciskania przez użytkownika przycisku Wyślij i bez wcześniejszego przejrzenia pełnego promptu. Luka, nazwana przez Oasis Security PromptFiction, dotyczyła sposobu, w jaki Claude Desktop obsługiwał niestandardowy schemat URL claude://. Anthropic naprawił już problem, a Oasis zaleca użytkownikom aktualizację Claude Desktop do wersji 1.1.2321 lub nowszej.
Co się stało
Claude Desktop można otworzyć za pomocą specjalnych linków, podobnie jak link do Zooma otwiera Zooma, a link pocztowy otwiera klienta poczty. Oasis odkrył, że złośliwie spreparowany link claude:// mógł zrobić więcej niż otworzyć aplikację: mógł przenosić pełny prompt i sprawić, że Claude Desktop wyśle go automatycznie. Eliminowało to zwykły moment, w którym użytkownik czyta prompt i decyduje, czy go wysłać.
Mówiąc prosto, użytkownik musiał tylko kliknąć link. Potem prompt był już w Claude i został już wysłany. Instrukcje atakującego mogły być ukryte pod nieszkodliwie wyglądającym tekstem dzięki wykorzystaniu mechanizmu zwijania wiadomości w Claude, tak że widoczna część wyglądała niewinnie, a właściwy ładunek znajdował się poza zasięgiem wzroku.
Dlaczego PromptFiction ma znaczenie
PromptFiction jest ważny, ponieważ zmienia typowy model prompt injection. Klasyczny prompt injection zwykle wymaga umieszczenia złośliwych instrukcji w treściach, które czyta AI, takich jak strona internetowa, e-mail, dokument lub wiadomość na czacie. Tutaj atak wykorzystał jako mechanizm dostarczania link do aplikacji desktopowej, automatycznie umieszczając instrukcje atakującego bezpośrednio przed agentem.
To sprawia, że problem jest szczególnie niebezpieczny dla agentów AI. Agent nie wie, czy prompt pochodzi od użytkownika celowo, czy od złośliwego linku. Po prostu otrzymuje instrukcje i działa w oparciu o dostęp, który już ma. Jak ujął to Oasis, awaria nastąpiła wcześniej: system pozwolił, by prompt dotarł do agenta bez dowodu, że napisał go lub zatwierdził człowiek.
Co mógł zrobić atakujący
Skutki zależały od tego, do czego Claude Desktop miał dostęp w środowisku użytkownika. W standardowej konfiguracji Oasis stwierdził, że atak mógł dotyczyć historii poprzednich rozmów, która może zawierać kod źródłowy, dokumenty wewnętrzne, dane klientów, plany lub poufne szczegóły techniczne.
W bardziej rozbudowanych konfiguracjach ryzyko mogło sięgać dalej. Dark Reading podał, że w połączeniu z wcześniejszymi lukami związanymi z Claude, znanymi jako Claudy Day, problem mógł umożliwiać po cichu eksfiltrację poprzednich rozmów, a tam, gdzie zainstalowano oficjalny Filesystem Server firmy Anthropic, także dostęp do plików z odczytem i zapisem, utrzymanie trwałej obecności oraz potencjalne zdalne wykonanie kodu na maszynie ofiary.
To kluczowa lekcja: luka nie była niebezpieczna wyłącznie z powodu linku. Była niebezpieczna, ponieważ agenci AI mają coraz częściej dostęp do przydatnych, wrażliwych, a czasem wykonywalnych możliwości.
Jak przebiegał atak
Atak PromptFiction mógł rozpocząć się od złośliwego linku dostarczonego przez stronę internetową, e-mail, dokument, wiadomość na czacie lub wynik wyszukiwania. Link używał niestandardowego schematu URL claude:// w Claude Desktop, aby otworzyć aplikację i automatycznie wysłać prompt spreparowany przez atakującego.
Aby zmniejszyć podejrzenia, prompt mógł zaczynać się od nieszkodliwie wyglądającego tekstu. Złośliwa część mogła być wypełniona poniżej widocznego fragmentu, co oznacza, że użytkownik mógł zobaczyć tylko coś zwyczajnego, dopóki nie rozwinął całej wiadomości. Po wysłaniu Claude przetwarzał pełny prompt, w tym ukryte instrukcje.
Dlaczego niestandardowe schematy URL są ryzykowne
Niestandardowe schematy URL są wygodne, ale to także znane zagrożenie dla bezpieczeństwa aplikacji desktopowych. Pozwalają witrynom, dokumentom i innym aplikacjom uruchamiać lokalne aplikacje desktopowe z parametrami. Jeśli aplikacja docelowa zbyt mocno ufa tym parametrom, zwykły link może stać się kanałem wejściowym dla poleceń kontrolowanych przez atakującego.
W przypadku Claude Desktop ryzyko było większe, ponieważ aplikacja docelowa nie tylko otwierała jakiś ekran. Wysyłała instrukcje do agenta AI. Zmienia to problem z deeplinkiem w aplikacji desktopowej w problem bezpieczeństwa agentowej AI.
Poprawka Anthropic
Oasis zgłosił lukę firmie Anthropic w ramach jej programu odpowiedzialnego ujawniania podatności (Responsible Disclosure Program). Błąd naprawiono w Claude Desktop w wersji 1.1.2321. Po poprawce prompty dostarczane przez takie linki nie są już wykonywane automatycznie; czekają wstępnie wypełnione, aby użytkownik mógł je przejrzeć i ręcznie nacisnąć przycisk wysyłania.
Ta zmiana przywraca etap zatwierdzenia przez człowieka. Nie usuwa wszystkich zagrożeń związanych z prompt injection, ale zamyka konkretną ścieżkę, w której jedno kliknięcie mogło wysłać instrukcje kontrolowane przez atakującego bez przeglądu.
Dlaczego to coś więcej niż jeden błąd
PromptFiction to kolejny przykład szerszego problemu w bezpieczeństwie agentów AI: agenci są łączeni z coraz większą liczbą narzędzi, danych i lokalnych możliwości szybciej, niż dojrzewa otaczający ich model bezpieczeństwa.
Tradycyjny chatbot głównie generuje tekst. Agent AI może czytać pliki, przeglądać strony internetowe, wywoływać API, korzystać z konektorów, współpracować z kodem, a czasem zapisywać dane w systemach lokalnych. Oznacza to, że pytanie o bezpieczeństwo nie brzmi już tylko „Co powiedział model?”. Brzmi też „Do czego agent ma dostęp i kto zatwierdził to działanie?”.
W miarę jak agenci AI stają się coraz bardziej zdolni, liczy się każdy kanał wejściowy: linki, dokumenty, e-maile, strony w przeglądarce, wtyczki, serwery MCP, systemy plików i konektory API.
Co powinni zrobić użytkownicy
Użytkownicy Claude Desktop powinni zaktualizować aplikację do najnowszej wersji, a konkretnie do 1.1.2321 lub nowszej, zgodnie z zaleceniami Oasis. Powinni też traktować linki otwierające aplikacje AI z taką samą ostrożnością jak linki pobierające pliki lub uruchamiające oprogramowanie desktopowe.
Użytkownicy powinni zachować szczególną ostrożność wobec linków otwierających lokalne aplikacje z e-maili, czatów, stron internetowych, dokumentów lub wyników wyszukiwania. Jeśli aplikacja AI otwiera się nieoczekiwanie ze wstępnie wypełnionym promptem, najbezpieczniej jest się zatrzymać i przejrzeć cały prompt przed podjęciem jakichkolwiek działań.
Czego powinny nauczyć się organizacje
Dla firm wdrażających agentów AI lekcja nie ogranicza się do załatania Claude Desktop. Większy problem to zarządzanie dostępem agentów i ich działaniami.
Zespoły bezpieczeństwa powinny zadać sobie pytania:
- Jakimi kanałami można wysyłać instrukcje do naszych agentów?
- Czy potrafimy odróżnić prompty zatwierdzone przez użytkownika od promptów dostarczonych przez link lub system zewnętrzny?
- Do jakich plików, API, narzędzi i rozmów ma dostęp każdy agent?
- Czy agenci potrzebują stałego dostępu, czy dostęp powinien być przyznawany tylko na czas zadania?
- Czy działania agentów są rejestrowane i możliwe do przejrzenia?
- Czy ryzykowne działania można blokować do momentu, aż człowiek zatwierdzi dokładnie dany krok?
Podsumowanie
PromptFiction pokazuje, że bezpieczeństwo agentów AI nie polega już tylko na blokowaniu złych promptów w oknach czatu.
Pojedynczy link do aplikacji desktopowej wystarczył, by dostarczyć instrukcje bezpośrednio agentowi AI i ominąć normalny etap przeglądu przez użytkownika. W silniejszych konfiguracjach taka luka mogła przejść od ujawnienia danych w stronę dostępu do plików lub wykonania kodu.
Agenci AI potrzebują silniejszych granic w kwestii tego, skąd pochodzą instrukcje, do czego mają dostęp i co wymaga wyraźnego zatwierdzenia przez człowieka.
W miarę jak narzędzia AI stają się coraz bardziej agentowe, każdy link, konektor, wtyczka i procedura obsługi protokołu staje się częścią powierzchni ataku.
