Vulnerabilità critica in Claude Tag su Slack: l'IA "sempre attiva" può essere dirottata con una semplice menzione falsa

La vulnerabilità: @Claude può essere falsificato

Il 14 luglio 2026, la società di sicurezza informatica Tego AI ha pubblicato una ricerca che identifica una debolezza critica in Claude Tag, l'integrazione nativa di Anthropic con Slack . I ricercatori di Tego AI hanno osservato che Claude Tag risponde a qualsiasi messaggio su Slack che contenga il testo @Claude, anche quando il messaggio non è stato effettivamente indirizzato all'agente tramite una menzione strutturale genuina di Slack .

Un malintenzionato che ottiene l'accesso a un canale Slack può iniettare @Claude in un messaggio proveniente da bot, webhook o feed automatizzati, inducendo l'agente a leggere il messaggio, interpretarne il contesto e potenzialmente eseguire azioni aziendali non autorizzate, come la lettura di dati sensibili, l'attivazione di chiamate a strumenti o l'interazione con sistemi connessi senza la reale intenzione del mittente o la dovuta autorizzazione .

In breve: il meccanismo di attivazione può essere falsificato, trasformando una funzionalità di collaborazione legittima in una superficie di attacco basata su injection, dove qualsiasi messaggio contenente la stringa di attivazione può dirottare l'attenzione e le capacità dell'agente.

Come opera Claude Tag come 'collega AI sempre attivo'

Anthropic ha lanciato Claude Tag il 23 giugno 2026, in sostituzione della precedente integrazione "Claude in Slack" (ritirata il 3 agosto 2026) . Non si tratta di un chatbot per singolo utente. Claude Tag è invece un partecipante persistente e condiviso all'interno di un canale Slack, con una propria identità, memoria e accesso a strumenti. Qualsiasi membro autorizzato del canale può taggare @Claude per assegnare compiti, e l'AI lavora in modo asincrono e alla luce del sole .

Opera in una modalità "ambientale", seguendo continuamente le conversazioni, apprendendo il contesto del canale e intervenendo proattivamente per segnalare aggiornamenti o mettere in luce attività . I suoi permessi sono circoscritti al canale in cui risiede, non al singolo utente, consentendo agli amministratori di configurare diversi set di strumenti, accesso ai dati e limiti di spesa per ciascun canale .

Dietro le quinte, ogni sessione di Claude Tag viene eseguita sul modello Opus 4.8 all'interno di una microVM Linux gestita da Anthropic, con le credenziali dei connettori mantenute all'esterno della VM, accesso di rete tramite proxy e strumenti di sola lettura per l'isolamento . L'utilizzo del canale viene fatturato all'organizzazione alle tariffe API, non per posto, invertendo i modelli di prezzo tradizionali del software enterprise .

Implicazioni più ampie per la sicurezza degli agenti AI aziendali

La scoperta di Tego AI non è un caso isolato. Si aggiunge ad altri due importanti incidenti della metà del 2026 che, insieme, rivelano una crisi nella sicurezza degli agenti AI aziendali.

Il meccanismo di tracciamento nascosto in Claude Code

Il 30 giugno 2026, il ricercatore indipendente "Thereallo" ha effettuato il reverse engineering di Claude Code, scoprendo codice JavaScript offuscato che raccoglieva silenziosamente l'impronta della posizione geografica degli utenti (tramite controlli del fuso orario) e modificava i prompt di sistema utilizzando caratteri Unicode simili — un apostrofo curvo invece di uno dritto, una barra invece di un trattino — per creare un segno di tracciamento occulto rilevabile dal backend di Anthropic . Il National Vulnerability Database (NVDB) cinese ha emesso un avviso di sicurezza formale per "backdoor" il 8 luglio, coprendo le versioni 2.1.91 fino a 2.1.196 di Claude Code . Alibaba ha bandito l'uso interno di Claude Code poco dopo . Anthropic ha definito il tutto un "esperimento anti-abuso" e lo ha rimosso il 1º luglio .

Vulnerabilità MCP a livello di ecosistema

L'infrastruttura del Model Context Protocol (MCP) che è alla base di Claude Tag e di molti altri agenti AI è stata trovata affetta da difetti di progettazione sistemici. Risultati chiave del 2026:

• Un difetto nell'implementazione di riferimento di MCP che esegue comandi del sistema operativo senza sanificazione ha esposto circa 200.000 istanze MCP vulnerabili lungo una catena di fornitura che conta oltre 150 milioni di download di pacchetti .
• Una scansione su 560 server MCP ha rilevato che il 38% non aveva alcuna autenticazione, il 43% delle CVE coinvolge exec() o shell injection, e il 13% riguarda path traversal .
• Sono emerse nuove classi di vulnerabilità, tra cui le "vulnerabilità basate su allucinazioni" (HBV), dove descrizioni vaghe degli strumenti portano il LLM ad auto-assegnarsi privilegi eccessivi o a compiere azioni non intenzionali .
• Avvelenamento degli strumenti, attacchi "Rug Pull" e Shadowing tra server sono stati tutti dimostrati nell'ecosistema MCP, inclusa una proof-of-concept in cui l'IDE Cursor è stato completamente compromesso tramite MCP .

Cosa significa per le aziende

Le aziende che implementano Claude Tag e strumenti AI agenziali simili si trovano ad affrontare una triplice minaccia: superfici di attacco di prompt injection nel livello di attivazione dell'agente (scoperta di Tego AI), tracciamento opaco lato fornitore negli strumenti agenziali (tracker di Claude Code) e impostazioni di infrastruttura fondamentalmente insicure nell'ecosistema MCP che collega gli agenti a strumenti e dati.

I fallimenti di identità e controllo degli accessi si propagano a cascata rapidamente quando un agente persistente come Claude Tag ha un ampio accesso agli strumenti e può essere attivato da menzioni falsificate . La governance API tradizionale è insufficiente per i flussi di lavoro agenziali, perché gli agenti non seguono modelli di permessi per utente o schemi di richiesta-risposta . Il rischio per la catena di fornitura è enorme: una vulnerabilità nell'implementazione di riferimento di MCP si propaga a ogni deployment a valle . La trasparenza e la verificabilità rimangono questioni critiche: il tracker di Claude Code era offuscato in JavaScript minificato ed è stato scoperto solo tramite reverse engineering esterno, il che significa che i team di sicurezza aziendali non possono fare affidamento sull'auto-dichiarazione del fornitore .

L'escalation normativa è già in corso, con il NVDB cinese che ha emesso allerte a livello statale e aziende come Alibaba che hanno imposto divieti totali . Il quadro complessivo è che la sicurezza degli agenti AI aziendali nel 2026 richiede un approccio fondamentalmente nuovo, uno che tratti gli agenti persistenti come infrastrutture critiche con controlli rigorosi di identità, accesso e catena di fornitura.

Punti chiave

• Attivatore falsificabile: Claude Tag risponde al testo letterale @Claude anche da fonti automatizzate, consentendo attacchi di prompt injection .
• Architettura sempre attiva: Claude Tag è un collega AI persistente e circoscritto al canale, eseguito su Opus 4.8 all'interno di una microVM, con fatturazione alle tariffe API .
• Triplice minaccia: la vulnerabilità di Tego si somma al tracker nascosto di Claude Code e ai difetti sistemici dell'infrastruttura MCP, creando un panorama di rischio severo per le aziende .
• Controlli proattivi necessari: limitare l'accesso per canale, verificare le azioni dell'agente, aggiornare alla specifica MCP 2026 e condurre regolari revisioni di sicurezza .