Agent Claude Tag v Slacku má kritickou zranitelnost: Stačí napsat @Claude a útočník ho může unést

Anthropic spustil Claude Tag 23. června 2026 jako přímou náhradu starší integrace „Claude in Slack" (ta bude vyřazena 3. srpna 2026) ^LA. Nejde o chatbota pro jednotlivé uživatele. Claude Tag je trvalý, sdílený účastník ve Slack kanálu s vlastní identitou, pamětí a přístupem k nástrojům. Každý oprávněný člen kanálu může napsat @Claude a zadat úkoly; AI pracuje asynchronně a otevřeně ^MSD.

Funguje v „ambientním" režimu – průběžně sleduje konverzace, učí se kontext kanálu a aktivně se ozývá, například aby upozornil na aktualizace nebo úkoly ^MM. Jeho oprávnění jsou vázána na kanál, nikoli na jednotlivého uživatele. Správci mohou pro každý kanál nastavit různé sady nástrojů, přístup k datům a limity výdajů ^SDR.

V pozadí každá relace Claude Tag běží na modelu Opus 4.8 uvnitř linuxového microVM spravovaného Anthropicem. Přihlašovací údaje konektorů jsou uloženy mimo VM, síťový přístup je proxyován a nástroje jsou v režimu read-only pro izolaci ^D. Využití kanálu je firmě účtováno podle API sazeb, nikoli na uživatele – to obrací tradiční cenové modely podnikového softwaru ^SD.

Širší dopady na bezpečnost podnikových AI agentů

Nález Tego AI není ojedinělý. Doplňují ho další dva závažné incidenty z poloviny roku 2026, které společně odhalují krizi v bezpečnosti podnikových AI agentů.

Skrytý mechanismus sledování v Claude Code

30. června 2026 nezávislý výzkumník „Thereallo" reverzním inženýrstvím zjistil, že Claude Code obsahuje obfuskovaný JavaScript, který tiché otisky uživatele (pomocí kontroly časového pásma) a modifikuje systémové výzvy pomocí podobných znaků Unicode – například kudrnatý apostrof místo rovného, lomítko místo pomlčky – čímž vytváří skrytou sledovací značku rozpoznatelnou backendem Anthropicu ^RAA. Čínská národní databáze zranitelností (NVDB) 8. července vydala formální bezpečnostní varování o „zadních vrátkách" pro verze Claude Code 2.1.91 až 2.1.196 ^RW. Alibaba zakázala Claude Code interně krátce poté ^I. Anthropic to označil za „experiment proti zneužívání" a 1. července funkci odstranil ^M.

Systémové chyby v ekosystému MCP

Infrastruktura protokolu MCP (Model Context Protocol), která je základem Claude Tag i mnoha dalších AI agentů, obsahuje systémové konstrukční chyby. Klíčová zjištění z roku 2026:

• Chyba v referenční implementaci MCP, která spouští OS příkazy bez sanitizace, vystavila odhadem ~200 000 zranitelných instancí MCP v dodavatelském řetězci s více než 150 miliony stažených balíčků ^L.
• Sken 560 MCP serverů odhalil, že 38 % nemá žádné ověření, 43 % CVE zahrnuje exec() nebo shell injection a 13 % path traversal ^D.
• Objevily se nové třídy zranitelností, včetně „halucinačních zranitelností" (HBV), kdy vágní popisy nástrojů způsobí, že LLM si přidělí přílišná oprávnění nebo provede nezamýšlené akce ^G.
• V ekosystému MCP byly demonstrovány Tool Poisoning, Rug Pull útoky a Cross-Server Shadowing – včetně důkazu konceptu, kde bylo plně kompromitováno vývojové prostředí Cursor IDE ^M.

Co to znamená pro firmy

Podniky nasazující Claude Tag a podobné agentní AI nástroje čelí trojité hrozbě: útočné ploše injektáží do promptů ve spouštěcí vrstvě agenta (nález Tego AI), neprůhlednému sledování na straně dodavatele v nástrojích agenta (Claude Code tracker) a zásadně nezabezpečeným výchozím nastavením infrastruktury v ekosystému MCP, který propojuje agenty s nástroji a daty.

Selhání identity a řízení přístupu se kaskádovitě šíří, když má trvalý agent jako Claude Tag široký přístup k nástrojům a může být spuštěn podvrženým zmíněním ^MG. Tradiční správa API pro agentní pracovní postupy nestačí, protože agenti nedodržují model oprávnění na uživatele ani vzor požadavek-odpověď ^M. Riziko dodavatelského řetězce je obrovské: zranitelnost v referenční implementaci MCP se šíří do všech downstream nasazení ^ML. Transparentnost a auditovatelnost zůstávají kritickými problémy – Claude Code tracker byl obfuskován v minifikovaném JavaScriptu a objeven až externím reverzním inženýrstvím; bezpečnostní týmy firem se nemohou spoléhat na sebeoznámení dodavatele ^RAA.

Regulační eskalace již probíhá – čínská NVDB vydala varování na státní úrovni a firmy jako Alibaba uvalily přímé zákazy ^RWI. Celkový obrázek ukazuje, že bezpečnost podnikových AI agentů v roce 2026 vyžaduje zásadně nový přístup – takový, který považuje trvalé agenty za kritickou infrastrukturu s přísnými kontrolami identity, přístupu a dodavatelského řetězce.

Klíčové body

• Podvrhnutelný spouštěč: Claude Tag reaguje na text @Claude i z automatických zdrojů, což umožňuje injektážní útoky ^G.
• Architektura vždy zapnuto: Claude Tag je trvalý AI kolega vázaný na kanál, běžící na Opus 4.8 v microVM, s účtováním podle API sazeb ^MSDD.
• Trojitá hrozba: Zranitelnost Tego AI se pojí se skrytým sledovačem v Claude Code a systémovými chybami MCP infrastruktury a vytváří tak pro firmy závažnou rizikovou krajinu ^MRL.
• Proaktivní opatření: Omezte přístup na jednotlivé kanály, auditujte akce agentů, aktualizujte na specifikaci MCP z roku 2026 a provádějte pravidelné bezpečnostní prověrky ^LT.