Уязвимость SneakPeek в настольном приложении Claude Code позволяла атакующему незаметно получить с машины разработчика SSH-приватные ключи, учётные данные AWS, API-ключи и OAuth-токены Claude. Для атаки не требовались ни клик жертвы, ни подтверждение запроса: достаточно было, чтобы разработчик попросил ИИ просмотреть или изменить файл из подготовленного репозитория.
Проблему обнаружили исследователи компании Noma, сообщает Dark Reading. Риск возникал в автоматической панели предпросмотра Claude Code Desktop: она показывает HTML-файлы, которые сервис сгенерировал или отредактировал. По данным исследователей, механизм, который пользователи могли считать изолированной песочницей, содержал сразу три архитектурных пробела: отсутствовала политика Content Security Policy, доступ между источниками не был ограничен, а фильтрация запросов фактически не работала.
Сценарий атаки выглядит буднично — и именно поэтому опасен. Злоумышленник размещает публичный репозиторий с HTML-файлом, внешне похожим на обычную часть проекта. Внутрь добавляется вредоносный скрипт, скрытый после первых 256 КБ содержимого. Когда Claude Code открывает файл в preview-панели, документ отрисовывается автоматически, а скрипт запускает фоновую отправку данных. Разработчик может в это время считать, что просто поручил ассистенту разобрать код или поправить вёрстку.
В таком случае целью становятся не только секреты конкретного репозитория. Утечь могут облачные ключи, токены GitHub, ключи к сторонним API и собственные OAuth-токены Claude — то есть набор доступов, который нередко открывает путь от ноутбука инженера к CI/CD, облачной инфраструктуре и внутренним сервисам. Для команды это уже не локальная ошибка в инструменте разработчика, а потенциальная точка входа в цепочку поставки ПО.
Anthropic получила сообщение об ошибке 4 июля и выпустила первоначальное исправление 9 июля. При повторной проверке 24 июля Noma нашла способ обойти эту защиту. Финальный патч развернули 17 августа, до публикации октябрьского advisory. Эта деталь важнее привычной формулировки «уязвимость исправлена»: первая заплатка закрыла видимую дыру, но не устранила сочетание решений, которое сделало возможной атаку. В итоге потребовались более глубокие изменения архитектуры предпросмотра.
История с уязвимостью SneakPeek хорошо показывает, где AI-инструменты для разработки меняют модель угроз. Раньше ревью сомнительного файла в основном означало риск прочитать вредоносный код или запустить его вручную. Теперь опасная логика может сработать в сервисной функции ассистента — например, при автоматическом предпросмотре. Чем больше инструмент получает прав на файлы, сеть, терминал и пользовательские сессии, тем меньше оснований воспринимать его интерфейс как безопасную прослойку между кодом и машиной.
Практический минимум для компаний — убедиться, что Claude Code Desktop и аналогичные средства обновляются централизованно и без долгих ручных циклов. Не менее важно убрать с рабочих машин долгоживущие секреты там, где это возможно: использовать короткоживущие облачные креденшелы, ограниченные токены, отдельные профили доступа и ротацию ключей. Полезно также пересмотреть, какие репозитории сотрудники открывают через ИИ-ассистенты и какие действия preview-компоненты могут выполнять без явного подтверждения. Защита конечной точки и мониторинг исходящих соединений не отменяют патч, но дают шанс заметить эксфильтрацию, если очередная «песочница» окажется менее изолированной, чем обещает интерфейс.
Главный вопрос здесь не в одном исправленном preview-окне, а в скорости, с которой агентные инструменты становятся полноправными участниками разработки. Если ассистент автоматически читает файлы, рендерит контент и использует локальные учётные данные, его придётся защищать как среду исполнения с привилегиями — а не как удобный редактор с чат-окном.