Badacz ds. bezpieczeństwa Alexander Hanff napisał artykuł zatytułowany „Anthropic potajemnie instaluje oprogramowanie szpiegowskie podczas instalacji aplikacji Claude Desktop”.
Takie twierdzenia z pewnością wywołują sprzeczne opinie, więc szukaliśmy oficjalnego stanowiska firmy Anthropic w tej sprawie. Nie udało nam się jednak nic znaleźć. Bardzo bym się zdziwił, gdyby nie wiedzieli o tym twierdzeniu, bo było o nim sporo szumu.
Użytkownicy Mastodona , Reddita i LinkedIn potwierdzają ustalenia badaczy i dyskutują na ten temat, więc trudno sobie wyobrazić, że Anthropic je przeoczył.
Przyjrzyjmy się najpierw tym twierdzeniom.
Badając inną sprawę, badacz odkrył na swoim komputerze manifest hosta Native Messaging Mac że nie zainstalował go świadomie. Chrome i innych przeglądarkach bazujących na Chromium rozszerzenia mogą wymieniać wiadomości z aplikacjami natywnymi, jeśli zarejestrują natywnego hosta wiadomości, który może komunikować się z rozszerzeniem.
Testując na czystym komputerze, Hanff odkrył, że instalacja Claude Desktop dla systemu macOS powoduje usunięcie manifestu hosta Native Messaging do wielu profili Chromium ( Chrome , Edge , Brave, Arc, Vivaldi, Opera, Chromium), nawet w przypadku przeglądarek, których jeszcze nie zainstalowano.
Manifest hosta Native Messaging informuje przeglądarkę opartą na Chromium, który lokalny plik wykonywalny ma wywołać, gdy rozszerzenie wywołuje hosta natywnego, a te hosty działają poza piaskownicą przeglądarki z bieżącymi uprawnieniami użytkownika. Hanff określa to zatem jako „tylne drzwi”. Manifest wstępnie autoryzuje trzy Chrome identyfikatory rozszerzeń, dzięki czemu każde rozszerzenie z tymi identyfikatorami może zadzwonić do pomocnika za pośrednictwem connectNative, zapewniając mu dostęp do funkcji automatyzacji przeglądarki.
Kolejny zarzut dotyczy tego, że Claude sprawia, iż zwykłe usunięcie pliku jest bezcelowe, ponieważ manifest zostanie odtworzony przy następnym uruchomieniu aplikacji Claude Desktop przez użytkownika.
Warto tu zaznaczyć, że jego artykuł dotyczy Claude Desktop, aplikacji dla systemu macOS opartej na platformie Electron, o identyfikatorze pakietu com.anthropic.claudefordesktop, dystrybuowany jako Claude.app. Nie chodzi tu o Claude Code, narzędzie programistyczne firmy Anthropic działające w wierszu poleceń. Claude Code jest autonomiczny („agentyczny”) – pozwala powierzyć mu zadanie, a on sam zajmuje się planowaniem i realizacją aż do jego zakończenia. W przypadku Claude Code umożliwienie komunikacji z przeglądarkami miałoby więc absolutny sens, pod warunkiem że przeglądarki te są zainstalowane w systemie docelowym.
Mamy więc aplikację, która zapisuje dane w katalogach profile/support innych aplikacji (obszarze konfiguracyjnym przeglądarek) i może działać w imieniu użytkownika, korzystając z takich funkcji, jak dostęp do zalogowanej sesji przeglądarki, inspekcja DOM, ekstrakcja danych, wypełnianie formularzy oraz rejestrowanie sesji. Powoduje to zwiększenie powierzchni ataku na każdym komputerze, na którym zostanie umieszczony ten manifest, bez pytania o zgodę.
Własny blog startowy Anthropic, zatytułowany „Claude for Chrome ”, omawiający wewnętrzne eksperymenty redteamowe Anthropic, wyraźnie wymienia natychmiastowe wstrzyknięcie jako kluczowe ryzyko i podaje skuteczność ataku na poziomie 23,6% (bez środków zaradczych) i 11,2% (z środkami zaradczymi). Hanff powołuje się na to, argumentując, że wstępnie ustawiony mostek stanowi nietrywialne ryzyko.
Jak źle jest?
Native Messaging to standardowy mechanizm Chromium. Nic tutaj nie jest nieznaną ani egzotyczną techniką samą w sobie. Chrome Własna dokumentacja wyjaśnia, że hosty Native Messaging działają z uprawnieniami użytkownika i są wywoływane przez rozszerzenia przeglądarki za pośrednictwem pliku manifestu. Jak zauważył badacz, most nic nie robi. Istnieje jednak potencjalne ryzyko nadużyć.
Nie sądzę, żeby można było słusznie twierdzić, że program Claude Desktop instaluje oprogramowanie szpiegujące, ale na pewno zwiększa podatność systemu na ataki poprzez poszerzenie powierzchni ataku.
Firma Anthropic dysponowała już oddzielnym, udokumentowanym plikiem manifestu Native Messaging dla Claude Code, który użytkownicy czasami ręcznie kopiowali do innych przeglądarek opartych na silniku Chromium; nowość polega na tym, że aplikacja Claude Desktop automatycznie umieszcza teraz plik manifestu związany z Claude Desktop w wielu ścieżkach przeglądarek.
Wymaga to połączenia rozszerzenia i serwera. Tylko w połączeniu z odpowiednim rozszerzeniem przeglądarki most ten umożliwia korzystanie z funkcji dla użytkowników, które wymieniliśmy wcześniej.
Czego jeszcze nie wiemy
Firma Anthropic nie opublikowała szczegółowej specyfikacji technicznej dotyczącej prywatności dla mostu Claude Desktop–przeglądarka, dlatego nie wiemy dokładnie, jakie dane przepływają, gdy Chrome wykorzystywana jest integracja wykraczająca poza ogólne możliwości opisane w ich dokumentacji (dostęp do sesji, odczyt DOM itp.).
Szczegółowa analiza i większość replikacji jak dotąd dotyczą systemu macOS. Nie mamy pojęcia o zachowaniu na Windows i Linuksa, i to samo dotyczy różnych ścieżek instalacji przeglądarek. To zachowanie nie zostało również szczegółowo udokumentowane w publicznych publikacjach.
Skontaktowałem się z firmą Anthropic, prosząc o komentarz. Jeśli i kiedy otrzymamy oficjalną odpowiedź od Anthropic, zamieszczę ją tutaj, więc śledźcie tę stronę.
Podsumowanie
Antropiczny prawdopodobnie chciał „Claude'a w Chrome „możliwości w stylu ”w przeglądarkach opartych na Chromium, ale nie usprawiedliwia to wykonywania tego w trybie cichym i wstępnego instalowania manifestu w katalogach profili wielu przeglądarek, także tych, które nie są jeszcze zainstalowane.
Istnieją lepsze sposoby wprowadzania takich zmian i użytkownicy powinni przynajmniej zostać o nich poinformowani, aby mogli rozważyć korzyści w stosunku do potencjalnych zagrożeń.
Powstrzymaj zagrożenia, zanim wyrządzą jakąkolwiek szkodę.
Malwarebytes Browser Guard Automatycznie blokuje strony phishingowe i złośliwe witryny. Za darmo, wystarczy jedno kliknięcie, aby zainstalować. Dodaj do swojej przeglądarki →
