Исследователь в области безопасности Александр Ханфф написал статью под названием «Anthropic тайно устанавливает шпионское ПО при установке Claude Desktop».
Подобные заявления неизбежно вызывают противоречивые мнения, поэтому мы попытались найти официальное опровержение со стороны Anthropic. Но нам его найти не удалось. Меня очень удивило бы, если бы они не знали об этом заявлении, ведь вокруг него поднялся некий шум.
Пользователи Mastodon , Reddit и LinkedIn подтверждают выводы исследователя и обсуждают эту тему, поэтому трудно представить, что Anthropic это упустил.
Давайте сначала рассмотрим эти утверждения.
В ходе изучения другого вопроса исследователь обнаружил манифест Native Messaging host на своем устройстве. Mac что он не устанавливал это сознательно. Chrome В других браузерах на основе Chromium расширения могут обмениваться сообщениями с нативными приложениями, если они зарегистрируют собственный хост обмена сообщениями, который может взаимодействовать с расширением.
В ходе тестирования на чистой машине Ханфф обнаружил, что установка Claude Desktop для macOS добавляет манифест хоста Native Messaging в несколько профилей Chromium. Chrome , Edge (Brave, Arc, Vivaldi, Opera, Chromium), в том числе и для браузеров, которые еще не установлены.
Манифест Native Messaging указывает браузеру на основе Chromium, какой локальный исполняемый файл следует вызвать, когда расширение обращается к нативному хосту, и эти хосты работают вне песочницы браузера с правами текущего пользователя. Поэтому Hanff описывает это как «бэкдор». Манифест предварительно авторизует три Chrome идентификаторы расширений, поэтому любое расширение с этими идентификаторами может вызвать вспомогательную функцию через connectNative, что обеспечивает ему доступ к функциям автоматизации браузера.
Еще одно возражение заключается в том, что Claude делает простое удаление бессмысленным, поскольку манифест будет воссоздан при следующем запуске пользователем Claude Desktop.
Здесь важно отметить, что его статья посвящена Claude Desktop — приложению для macOS на базе Electron с идентификатором пакета com.anthropic.claudefordesktop, распространяемый как Claude.app. Речь не идет о Claude Code — инструменте для разработчиков от Anthropic, работающем в командной строке. Claude Code является автономным («агентным») приложением, которое позволяет передать ему задачу, после чего оно самостоятельно занимается планированием и выполнением до полного завершения. Таким образом, для Claude Code вполне логично было бы обеспечить возможность взаимодействия с браузерами, при условии, что они установлены в целевой системе.
Итак, у нас есть приложение, которое записывает данные в каталоги profile/support других приложений (область настроек браузеров) и может действовать от имени пользователя, используя такие возможности, как доступ к сеансу авторизованного браузера, просмотр DOM, извлечение данных, заполнение форм и запись сеансов. Это расширяет плоскость атаки на каждом компьютере, на который заносится этот манифест, без запроса согласия.
В собственном блоге Anthropic, посвященном запуску «Claude for Chrome », где обсуждаются внутренние эксперименты Anthropic с использованием «красной команды», прямо упоминается быстрое внедрение кода как ключевой риск, и сообщается о показателях успешности атак в 23,6% (без мер по смягчению последствий) и 11,2% (с мерами по смягчению последствий). Ханфф приводит эти данные, чтобы доказать, что заранее размещенный мост представляет собой существенный риск.
Насколько всё плохо?
Встроенная система обмена сообщениями — это стандартный механизм Chromium. Ничего нового или экзотического здесь нет. Chrome В собственной документации поясняется, что хосты Native Messaging работают с правами пользователя и вызываются расширениями браузера через файл манифеста. И, как отметил исследователь, мост ничего не делает. Но его потенциально можно использовать не по назначению.
Я не считаю справедливым утверждать, что Claude Desktop устанавливает шпионское ПО, но он действительно делает систему уязвимой, увеличивая площадь атаки.
У Anthropic уже был отдельный, задокументированный манифест Native Messaging для Claude Code, который пользователи иногда вручную копировали в другие браузеры на базе Chromium; теперь же Claude Desktop автоматически размещает манифест, связанный с Claude Desktop, в нескольких каталогах браузеров.
Для этого требуется сочетание расширения и хоста. Только в сочетании с соответствующим расширением для браузера этот мост обеспечивает те возможности, о которых мы говорили ранее.
Чего мы пока не знаем
Компания Anthropic не опубликовала подробную техническую спецификацию конфиденциальности для моста Claude Desktop-browser, поэтому мы точно не знаем, какие данные передаются при его использовании. Chrome Используется интеграция, выходящая за рамки общих возможностей, описанных в их документации (доступ к сессиям, чтение DOM и т. д.).
Подробный анализ и большинство воспроизведений на данный момент проведены на macOS. О поведении на macOS нам ничего неизвестно. Windows и Linux, и то же самое справедливо для различных путей установки в браузерах. Такое поведение также не было всесторонне задокументировано в публичных отчетах.
Я обратился в компанию Anthropic с просьбой о комментарии. Как только мы получим официальный ответ от Anthropic, я размещу его здесь, так что следите за обновлениями.
Заключение
Вероятно, антропический подход хотел видеть «Клода в Chrome Возможности в стиле «внедрения» в браузеры на основе Chromium, но это не оправдывает скрытую установку манифеста в каталоги профилей для нескольких браузеров, включая те, которые еще не установлены.
Существуют более эффективные способы внедрения подобных изменений, и пользователей следует, по крайней мере, проинформировать об этом, чтобы они могли сопоставить преимущества с возможными рисками.
Пресекайте угрозы, пока они не нанесли ущерб.
Malwarebytes Browser Guard Автоматически блокирует фишинговые страницы и вредоносные сайты. Бесплатно, установка в один клик. Добавьте в свой браузер →
