Claude Code曝零点击漏洞 可窃开发者密钥

AI 编程工具自身也可能成为攻击入口。安全研究团队 Noma Labs 于 10 月 14 日公开披露，Anthropic 的 Claude Code 桌面应用存在一条代号为 SneakPeek 的高危漏洞链，CVSS 评分 8.7（高危）。攻击者无需用户点击任何东西，就能静默窃取开发者电脑上的敏感凭证。

出问题的是 Claude Code 桌面版的自动预览窗：一个基于 Electron 的 Chromium 渲染面板，用于实时预览 Claude 生成或修改的 HTML 文件。研究人员发现三处可串联的架构缺陷——超过 256KB 的文件会被写入磁盘并以 file:// 方式加载，从而绕过内容安全策略（CSP）；file:// 源在 Chromium 中可以直接读取本地文件；而用于拦截 file:// 访问的请求过滤器在渲染静态文件时并未启用。

攻击路径并不复杂：攻击者在公开代码仓库里放一个填充到超过 256KB、内嵌恶意脚本的 HTML 文件，比如一份看似正常的测试覆盖率报告。开发者让 Claude Code 审查或编辑该文件时，预览窗自动渲染文档，恶意脚本随之运行，将 ~/.aws/credentials、~/.ssh 私钥、npm 与 GitHub 令牌、Kubernetes 配置乃至 Claude 自身的 OAuth 令牌，通过浏览器标准接口 navigator.sendBeacon 静默发往外部服务器。

值得注意的是，整个过程不需要智能体"批准"任何操作——真正执行代码的是应用自带的渲染进程，而不是模型本身，因此用户以为存在的沙箱防护完全不起作用。

协作披露的过程也一波三折：Noma 于 7 月 4 日首次报告，Anthropic 7 月 9 日推出第一版修复；仅两周后，Noma 就通过 blob: URL 创建 Web Worker 绕过了该补丁。Anthropic 随后进行了更深层的架构级整改，8 月 17 日完成的最终修复覆盖了所有执行路径。从 Claude Desktop 1.30096.1 版本起已随自动更新分发，官方公告与 CVE 申请于本月放出。

Noma 高级 AI 漏洞研究员 Eli Ainhorn 提醒，AI 编程应用必须保持更新，开发者也应避免在开发机上长期存放云端凭证；他同时警告，"依赖模型厂商来充当你的安全供应商"并不可靠，这类潜伏在"看似安全环境"里的隐蔽漏洞未来还会出现。

编译自 Dark Reading 与 Noma Labs，原标题："Anthropic 'SneakPeek' Flaw Is a Silent Zero-Click Threat"