Tego AI afslører kritisk sårbarhed i Claude Tag: Sådan kan den 'altid-on' AI-kollega i Slack kapres

Sårbarheden: @Claude kan forfalskes

Den 14. juli 2026 offentliggjorde cybersikkerhedsfirmaet Tego AI forskning, der identificerer en kritisk sikkerhedssvaghed i Claude Tag, Anthropics native Slack-integration . Tego AIs forskere observerede, at Claude Tag reagerer på enhver Slack-besked, der indeholder den bogstavelige tekst @Claude – også selvom beskeden ikke var en ægte strukturel Slack-omtale .

En angriber, der har adgang til en Slack-kanal, kan injicere @Claude i en besked fra bots, webhooks eller automatiserede feeds. Dette får AI-agenten til at læse beskeden, fortolke dens kontekst og potentielt udføre uautoriserede handlinger såsom at læse følsomme data, udløse værktøjskald eller interagere med tilsluttede systemer – uden afsenderens reelle hensigt eller behørig godkendelse .

Kort sagt: udløsermekanismen kan forfalskes, hvilket forvandler en legitim samarbejdsfunktion til en injektionsbaseret angrebsflade, hvor enhver besked, der indeholder udløserstrengen, kan kapre AI-agentens opmærksomhed og muligheder.

Sådan fungerer Claude Tag som en 'altid-on' AI-kollega

Anthropic lancerede Claude Tag den 23. juni 2026 som en direkte erstatning for den ældre "Claude in Slack"-integration (pensioneret 3. august 2026) . Det er ikke en chatbot per bruger. I stedet er Claude Tag en vedvarende, delt deltager i en Slack-kanal med sin egen identitet, hukommelse og værktøjsadgang. Enhver autoriseret kanalbruger kan tagge @Claude for at tildele opgaver, og AI'en arbejder asynkront i det åbne .

Den opererer i en "ambient"-tilstand, hvor den løbende følger samtaler, lærer kanalkontekst og proaktivt byder ind for at markere opdateringer eller opsummere opgaver . Dets tilladelser er afgrænset til den kanal, den befinder sig i, frem for til en enkelt bruger, hvilket giver administratorer mulighed for at konfigurere forskellige værktøjssæt, dataadgang og forbrugsgrænser for hver kanal .

Bag kulisserne kører hver Claude Tag-session på Opus 4.8-modellen inde i en Anthropic-administreret Linux mikroVM, med connector-legitimationsoplysninger opbevaret uden for VM'en, proxynetværksadgang og skrivebeskyttede værktøjer til isolation . Kanalforbruget faktureres til organisationen til API-takster, ikke per sæde, hvilket vender traditionelle enterprise software-prismodeller på hovedet .

Bredere implikationer for sikkerhed i enterprise AI-agenter

Tego AIs fund står ikke alene. Det forstærkes af to andre store hændelser i midten af 2026, der tilsammen afslører en krise i sikkerheden for enterprise AI-agenter.

Den skjulte sporingsmekanisme i Claude Code

Den 30. juni 2026 reverse-engineerede den uafhængige forsker "Thereallo" Claude Code og opdagede obfuscated JavaScript, der stille og roligt fingerprintede brugernes geografiske placering (via tidszonekontrol) og ændrede systemprompter ved hjælp af Unicode-tegn, der ligner hinanden – en krøllet apostrof i stedet for en lige, en skråstreg i stedet for en bindestreg – for at skabe et skjult sporingsmærke, der kunne detekteres af Anthropics backend . Kinas National Vulnerability Database (NVDB) udsendte en formel "backdoor"-sikkerhedsalarm den 8. juli for Claude Code version 2.1.91 til 2.1.196 . Alibaba forbød Claude Code internt kort tid efter . Anthropic kaldte det et "anti-misbrugs-eksperiment" og fjernede det den 1. juli .

Økosystemdækkende MCP-sårbarheder

Model Context Protocol (MCP)-infrastrukturen, der understøtter Claude Tag og mange andre AI-agenter, har vist sig at indeholde systemiske designfejl. Vigtige resultater fra 2026:

• En fejl i MCP-referenceimplementeringen, der udfører OS-kommandoer uden sanitering, udsatte anslået ~200.000 sårbare MCP-instanser på tværs af en forsyningskæde med over 150 millioner pakke-downloads .
• En scanning af 560 MCP-servere viste, at 38 % manglede autentifikation, 43 % af CVE'er involverer exec() eller shell-injektion, og 13 % involverer path traversal .
• Nye sårbarhedsklasser er dukket op, herunder "hallucinationsbaserede sårbarheder" (HBV'er), hvor vage værktøjsbeskrivelser får LLM'en til at give sig selv for mange rettigheder eller foretage utilsigtede handlinger .
• Værktøjsforgiftning, Rug Pull-angreb og Cross-Server Shadowing er alle blevet demonstreret i MCP-økosystemet, herunder et proof-of-concept, hvor Cursor IDE blev fuldt kompromitteret via MCP .

Hvad betyder dette for virksomheder?

Virksomheder, der anvender Claude Tag og lignende agentbaserede AI-værktøjer, står over for en tredobbelt trussel: prompt-injektionsangrebsflader i AI-agentens udløserlag (Tego AIs fund), uigennemsigtig overvågning fra leverandørens side i agentværktøjer (Claude Code-trackeren) og fundamentalt usikre infrastrukturstandarder i MCP-økosystemet, der forbinder agenter med værktøjer og data.

Identitets- og adgangskontrolsvigt kaskaderer hurtigt, når en vedvarende agent som Claude Tag har bred værktøjsadgang og kan udløses af forfalskede omtaler . Traditionel API-governance er utilstrækkelig til agentbaserede arbejdsgange, fordi agenter ikke følger per-bruger-tilladelsesmodeller eller anmodning-svar-mønstre . Forsyningskæderisikoen er enorm: en sårbarhed i MCP-referenceimplementeringen formerer sig til alle downstream-installationer . Gennemsigtighed og revisionsmuligheder er fortsat kritiske problemer – Claude Code-trackeren var obfuscated i minificeret JavaScript og blev kun opdaget gennem ekstern reverse-engineering, hvilket betyder, at virksomheders sikkerhedsteams ikke kan stole på leverandørernes egen selvrapportering .

Reguleringsmæssig eskalering er allerede i gang, med Kinas NVDB, der udsteder statslige alarmer, og virksomheder som Alibaba, der udsteder direkte forbud . Det samlede billede er, at enterprise AI-agent-sikkerhed i 2026 kræver en fundamentalt ny tilgang – en, der behandler vedvarende agenter som kritisk infrastruktur med strenge identitets-, adgangs- og forsyningskædekontroller.

De vigtigste pointer

• Forfalskelig udløser: Claude Tag reagerer på den bogstavelige tekst @Claude selv fra automatiserede kilder, hvilket muliggør prompt-injektionsangreb .
• Altid-on-arkitektur: Claude Tag er en vedvarende, kanalafgrænset AI-kollega, der kører på Opus 4.8 i en mikroVM med fakturering til API-takster .
• Tredobbelt trussel: Tego-sårbarheden forstærkes af den skjulte tracker i Claude Code og systemiske MCP-infrastrukturfejl, hvilket skaber et alvorligt risikolandskab for virksomheder .
• Proaktive kontroller nødvendige: Afgræns adgang per kanal, revider agenthandlinger, opgrader til 2026-MCP-specifikationen, og udfør regelmæssige sikkerhedsgennemgange .