Уязвимость Claude в инструменте обработки документов могла позволить атакующему добиться запуска вредоносного кода на Linux-машине пользователя. Для этого, как сообщает Dark Reading, достаточно было создать временный файл, к которому ИИ-ассистент Anthropic получал доступ в ходе работы с документом; для команд, уже подключающих генеративный ИИ к локальным процессам, это не теоретическая деталь, а повод проверить границы доступа.
Речь идёт о проблеме, которую издание называет Office Party. Её суть не в том, что модель «переубеждают» текстовой инструкцией, а в связке из обработки файлов и действий на устройстве пользователя. Если Claude может видеть временный файл и исполнять действия, связанные с ним, атакующий получает шанс подложить содержимое, которое приведёт к выполнению нежелательного кода в Linux.
Такой сценарий важен именно из-за своей приземлённости. Временные файлы обычно воспринимаются как технический мусор: они появляются при конвертации, предварительном просмотре, распаковке и анализе вложений. Но для ИИ-инструмента с доступом к файловой системе этот «мусор» становится частью входных данных. Если вокруг него нет строгой изоляции и проверки происхождения, временный файл превращается из служебной детали в точку атаки.
В описанном случае атакующий не обязан получать прямой интерактивный доступ к компьютеру жертвы. Опасный материал может быть подготовлен так, чтобы ассистент столкнулся с ним при штатной обработке документа. Это меняет привычную модель угроз: риск создаёт не только явно запускаемый пользователем исполняемый файл, но и цепочка автоматизации вокруг офисного или документного workflow.
Для Linux-сред это особенно чувствительно. Разработчики, инженеры данных и администраторы нередко используют ИИ-помощников там, где рядом лежат исходный код, скрипты, ключи доступа, конфигурации и рабочие документы. Сам факт работы Claude с локальными файлами не означает компрометацию, но уязвимость Claude показывает: разрешение «прочитать документ» нельзя мысленно отделять от всех последующих действий агента и интеграций, которые он может задействовать.
История укладывается в более широкий тренд безопасности ИИ-агентов. Чем больше задач ассистент выполняет самостоятельно — читает вложения, готовит файлы, вызывает инструменты, работает в терминале, — тем меньше защита сводится к качеству самой языковой модели. Критичны права процессов, изоляция рабочих каталогов, фильтрация входных файлов и возможность остановить опасное действие до его выполнения.
Командам, использующим подобные инструменты, имеет смысл проверить несколько вещей: запускаются ли обработчики документов с минимально необходимыми правами; отделены ли временные каталоги от репозиториев и чувствительных данных; может ли обработка недоверенного вложения вызвать команду или внешний инструмент; ведутся ли журналы таких операций. Это не экзотическая «защита от ИИ», а обычная дисциплина безопасности, которая становится обязательной, когда между файлом и системой появляется автономный помощник.
Отдельная ловушка — смешивать доверенный контент и контент извне в одной сессии или одном рабочем каталоге. Документ от партнёра, кандидата или клиента не должен автоматически получать тот же уровень доверия, что внутренний файл команды. В идеале анализ таких материалов выполняется в песочнице, без доступа к секретам, рабочим деревьям кода и пользовательским каталогам. Если бизнес-процесс требует более широких полномочий, их стоит выдавать только на время конкретной операции.
Для разработчиков ИИ-продуктов вывод ещё жёстче: проверки нужно строить не только вокруг промптов. Необходимы безопасная работа с временными файлами, явное разделение чтения и исполнения, ограничения на вызов инструментов и понятный пользователю контроль разрешений. Иначе удобная функция обработки документов становится мостом между внешним файлом и локальной средой.
Главный вопрос после Office Party — успеют ли корпоративные практики работы с агентами догнать их фактические возможности. Пока ассистент воспринимается как «чат для документов», ему легко выдать лишний доступ; когда он начинает действовать от имени пользователя, уязвимость Claude напоминает о простом правиле: любой автоматизированный доступ к файлам нужно проектировать так, будто на другом конце уже находится атакующий.
