Stručně řečeno: spouštěcí mechanismus lze podvrhnout. Legitimní funkce pro spolupráci se mění v útočnou plochu založenou na injektáži, kde jakákoli zpráva obsahující spouštěcí řetězec může unést pozornost a schopnosti agenta.

Jak funguje Claude Tag jako „vždy zapnutý" AI kolega

Anthropic spustil Claude Tag 23. června 2026 jako přímou náhradu starší integrace „Claude in Slack" (ta bude vyřazena 3. srpna 2026) . Nejde o chatbota pro jednotlivé uživatele. Claude Tag je trvalý, sdílený účastník ve Slack kanálu s vlastní identitou, pamětí a přístupem k nástrojům. Každý oprávněný člen kanálu může napsat @Claude a zadat úkoly; AI pracuje asynchronně a otevřeně .

Funguje v „ambientním" režimu – průběžně sleduje konverzace, učí se kontext kanálu a aktivně se ozývá, například aby upozornil na aktualizace nebo úkoly . Jeho oprávnění jsou vázána na kanál, nikoli na jednotlivého uživatele. Správci mohou pro každý kanál nastavit různé sady nástrojů, přístup k datům a limity výdajů .

V pozadí každá relace Claude Tag běží na modelu Opus 4.8 uvnitř linuxového microVM spravovaného Anthropicem. Přihlašovací údaje konektorů jsou uloženy mimo VM, síťový přístup je proxyován a nástroje jsou v režimu read-only pro izolaci . Využití kanálu je firmě účtováno podle API sazeb, nikoli na uživatele – to obrací tradiční cenové modely podnikového softwaru .

Širší dopady na bezpečnost podnikových AI agentů

Nález Tego AI není ojedinělý. Doplňují ho další dva závažné incidenty z poloviny roku 2026, které společně odhalují krizi v bezpečnosti podnikových AI agentů.

Skrytý mechanismus sledování v Claude Code

30. června 2026 nezávislý výzkumník „Thereallo" reverzním inženýrstvím zjistil, že Claude Code obsahuje obfuskovaný JavaScript, který tiché otisky uživatele (pomocí kontroly časového pásma) a modifikuje systémové výzvy pomocí podobných znaků Unicode – například kudrnatý apostrof místo rovného, lomítko místo pomlčky – čímž vytváří skrytou sledovací značku rozpoznatelnou backendem Anthropicu . Čínská národní databáze zranitelností (NVDB) 8. července vydala formální bezpečnostní varování o „zadních vrátkách" pro verze Claude Code 2.1.91 až 2.1.196 . Alibaba zakázala Claude Code interně krátce poté . Anthropic to označil za „experiment proti zneužívání" a 1. července funkci odstranil .

Systémové chyby v ekosystému MCP

Infrastruktura protokolu MCP (Model Context Protocol), která je základem Claude Tag i mnoha dalších AI agentů, obsahuje systémové konstrukční chyby. Klíčová zjištění z roku 2026:

• Chyba v referenční implementaci MCP, která spouští OS příkazy bez sanitizace, vystavila odhadem ~200 000 zranitelných instancí MCP v dodavatelském řetězci s více než 150 miliony stažených balíčků .
• Sken 560 MCP serverů odhalil, že 38 % nemá žádné ověření, 43 % CVE zahrnuje exec() nebo shell injection a 13 % path traversal .
• Objevily se nové třídy zranitelností, včetně „halucinačních zranitelností" (HBV), kdy vágní popisy nástrojů způsobí, že LLM si přidělí přílišná oprávnění nebo provede nezamýšlené akce .
• V ekosystému MCP byly demonstrovány Tool Poisoning, Rug Pull útoky a Cross-Server Shadowing – včetně důkazu konceptu, kde bylo plně kompromitováno vývojové prostředí Cursor IDE .

Co to znamená pro firmy

Podniky nasazující Claude Tag a podobné agentní AI nástroje čelí trojité hrozbě: útočné ploše injektáží do promptů ve spouštěcí vrstvě agenta (nález Tego AI), neprůhlednému sledování na straně dodavatele v nástrojích agenta (Claude Code tracker) a zásadně nezabezpečeným výchozím nastavením infrastruktury v ekosystému MCP, který propojuje agenty s nástroji a daty.

Selhání identity a řízení přístupu se kaskádovitě šíří, když má trvalý agent jako Claude Tag široký přístup k nástrojům a může být spuštěn podvrženým zmíněním . Tradiční správa API pro agentní pracovní postupy nestačí, protože agenti nedodržují model oprávnění na uživatele ani vzor požadavek-odpověď . Riziko dodavatelského řetězce je obrovské: zranitelnost v referenční implementaci MCP se šíří do všech downstream nasazení . Transparentnost a auditovatelnost zůstávají kritickými problémy – Claude Code tracker byl obfuskován v minifikovaném JavaScriptu a objeven až externím reverzním inženýrstvím; bezpečnostní týmy firem se nemohou spoléhat na sebeoznámení dodavatele .

Regulační eskalace již probíhá – čínská NVDB vydala varování na státní úrovni a firmy jako Alibaba uvalily přímé zákazy . Celkový obrázek ukazuje, že bezpečnost podnikových AI agentů v roce 2026 vyžaduje zásadně nový přístup – takový, který považuje trvalé agenty za kritickou infrastrukturu s přísnými kontrolami identity, přístupu a dodavatelského řetězce.

Klíčové body

• Podvrhnutelný spouštěč: Claude Tag reaguje na text @Claude i z automatických zdrojů, což umožňuje injektážní útoky .
• Architektura vždy zapnuto: Claude Tag je trvalý AI kolega vázaný na kanál, běžící na Opus 4.8 v microVM, s účtováním podle API sazeb .
• Trojitá hrozba: Zranitelnost Tego AI se pojí se skrytým sledovačem v Claude Code a systémovými chybami MCP infrastruktury a vytváří tak pro firmy závažnou rizikovou krajinu .
• Proaktivní opatření: Omezte přístup na jednotlivé kanály, auditujte akce agentů, aktualizujte na specifikaci MCP z roku 2026 a provádějte pravidelné bezpečnostní prověrky .

Stručně řečeno: spouštěcí mechanismus lze podvrhnout. Legitimní funkce pro spolupráci se mění v útočnou plochu založenou na injektáži, kde jakákoli zpráva obsahující spouštěcí řetězec může unést pozornost a schopnosti agenta.

Jak funguje Claude Tag jako „vždy zapnutý" AI kolega

Anthropic spustil Claude Tag 23. června 2026 jako přímou náhradu starší integrace „Claude in Slack" (ta bude vyřazena 3. srpna 2026) . Nejde o chatbota pro jednotlivé uživatele. Claude Tag je trvalý, sdílený účastník ve Slack kanálu s vlastní identitou, pamětí a přístupem k nástrojům. Každý oprávněný člen kanálu může napsat @Claude a zadat úkoly; AI pracuje asynchronně a otevřeně .

Funguje v „ambientním" režimu – průběžně sleduje konverzace, učí se kontext kanálu a aktivně se ozývá, například aby upozornil na aktualizace nebo úkoly . Jeho oprávnění jsou vázána na kanál, nikoli na jednotlivého uživatele. Správci mohou pro každý kanál nastavit různé sady nástrojů, přístup k datům a limity výdajů .

V pozadí každá relace Claude Tag běží na modelu Opus 4.8 uvnitř linuxového microVM spravovaného Anthropicem. Přihlašovací údaje konektorů jsou uloženy mimo VM, síťový přístup je proxyován a nástroje jsou v režimu read-only pro izolaci . Využití kanálu je firmě účtováno podle API sazeb, nikoli na uživatele – to obrací tradiční cenové modely podnikového softwaru .

Širší dopady na bezpečnost podnikových AI agentů

Nález Tego AI není ojedinělý. Doplňují ho další dva závažné incidenty z poloviny roku 2026, které společně odhalují krizi v bezpečnosti podnikových AI agentů.

Skrytý mechanismus sledování v Claude Code

30. června 2026 nezávislý výzkumník „Thereallo" reverzním inženýrstvím zjistil, že Claude Code obsahuje obfuskovaný JavaScript, který tiché otisky uživatele (pomocí kontroly časového pásma) a modifikuje systémové výzvy pomocí podobných znaků Unicode – například kudrnatý apostrof místo rovného, lomítko místo pomlčky – čímž vytváří skrytou sledovací značku rozpoznatelnou backendem Anthropicu . Čínská národní databáze zranitelností (NVDB) 8. července vydala formální bezpečnostní varování o „zadních vrátkách" pro verze Claude Code 2.1.91 až 2.1.196 . Alibaba zakázala Claude Code interně krátce poté . Anthropic to označil za „experiment proti zneužívání" a 1. července funkci odstranil .

Systémové chyby v ekosystému MCP

Infrastruktura protokolu MCP (Model Context Protocol), která je základem Claude Tag i mnoha dalších AI agentů, obsahuje systémové konstrukční chyby. Klíčová zjištění z roku 2026:

• Chyba v referenční implementaci MCP, která spouští OS příkazy bez sanitizace, vystavila odhadem ~200 000 zranitelných instancí MCP v dodavatelském řetězci s více než 150 miliony stažených balíčků .
• Sken 560 MCP serverů odhalil, že 38 % nemá žádné ověření, 43 % CVE zahrnuje exec() nebo shell injection a 13 % path traversal .
• Objevily se nové třídy zranitelností, včetně „halucinačních zranitelností" (HBV), kdy vágní popisy nástrojů způsobí, že LLM si přidělí přílišná oprávnění nebo provede nezamýšlené akce .
• V ekosystému MCP byly demonstrovány Tool Poisoning, Rug Pull útoky a Cross-Server Shadowing – včetně důkazu konceptu, kde bylo plně kompromitováno vývojové prostředí Cursor IDE .

Co to znamená pro firmy

Podniky nasazující Claude Tag a podobné agentní AI nástroje čelí trojité hrozbě: útočné ploše injektáží do promptů ve spouštěcí vrstvě agenta (nález Tego AI), neprůhlednému sledování na straně dodavatele v nástrojích agenta (Claude Code tracker) a zásadně nezabezpečeným výchozím nastavením infrastruktury v ekosystému MCP, který propojuje agenty s nástroji a daty.

Selhání identity a řízení přístupu se kaskádovitě šíří, když má trvalý agent jako Claude Tag široký přístup k nástrojům a může být spuštěn podvrženým zmíněním . Tradiční správa API pro agentní pracovní postupy nestačí, protože agenti nedodržují model oprávnění na uživatele ani vzor požadavek-odpověď . Riziko dodavatelského řetězce je obrovské: zranitelnost v referenční implementaci MCP se šíří do všech downstream nasazení . Transparentnost a auditovatelnost zůstávají kritickými problémy – Claude Code tracker byl obfuskován v minifikovaném JavaScriptu a objeven až externím reverzním inženýrstvím; bezpečnostní týmy firem se nemohou spoléhat na sebeoznámení dodavatele .

Regulační eskalace již probíhá – čínská NVDB vydala varování na státní úrovni a firmy jako Alibaba uvalily přímé zákazy . Celkový obrázek ukazuje, že bezpečnost podnikových AI agentů v roce 2026 vyžaduje zásadně nový přístup – takový, který považuje trvalé agenty za kritickou infrastrukturu s přísnými kontrolami identity, přístupu a dodavatelského řetězce.

Klíčové body

• Podvrhnutelný spouštěč: Claude Tag reaguje na text @Claude i z automatických zdrojů, což umožňuje injektážní útoky .
• Architektura vždy zapnuto: Claude Tag je trvalý AI kolega vázaný na kanál, běžící na Opus 4.8 v microVM, s účtováním podle API sazeb .
• Trojitá hrozba: Zranitelnost Tego AI se pojí se skrytým sledovačem v Claude Code a systémovými chybami MCP infrastruktury a vytváří tak pro firmy závažnou rizikovou krajinu .
• Proaktivní opatření: Omezte přístup na jednotlivé kanály, auditujte akce agentů, aktualizujte na specifikaci MCP z roku 2026 a provádějte pravidelné bezpečnostní prověrky .