Tego AI Temui Kelemahan Kritikal Claude Tag Slack: 'Sebutan Palsu' Boleh Rampas AI Rakan Sejawatan

Kelemahan: @Claude Boleh Dipalsukan

Pada 14 Julai 2026, firma keselamatan siber Tego AI menerbitkan penyelidikan yang mengenal pasti kelemahan keselamatan kritikal dalam Claude Tag, integrasi Slack asli Anthropic . Penyelidik Tego AI memerhatikan bahawa Claude Tag bertindak balas terhadap sebarang mesej Slack yang mengandungi teks literal @Claude — walaupun mesej itu sebenarnya tidak ditujukan kepadanya melalui sebutan Slack struktur yang tulen .

Penyerang yang mendapat akses ke saluran Slack boleh menyuntik @Claude ke dalam mesej daripada bot, webhooks, atau suapan automatik, menyebabkan ejen AI membaca mesej tersebut, mentafsir konteksnya, dan berpotensi melaksanakan tindakan perusahaan tanpa kebenaran seperti membaca data sensitif, mencetuskan panggilan alat, atau berinteraksi dengan sistem bersambung tanpa niat sebenar atau kebenaran yang sewajarnya .

Ringkasnya: mekanisme pencetus boleh dipalsukan, menjadikan ciri kolaborasi yang sah sebagai permukaan serangan berasaskan suntikan di mana mana-mana mesej yang mengandungi rentetan pencetus boleh merampas perhatian dan keupayaan ejen AI.

Bagaimana Claude Tag Beroperasi sebagai 'Rakan Sejawatan AI yang Sentiasa Hidup'

Anthropic melancarkan Claude Tag pada 23 Jun 2026, sebagai pengganti langsung untuk integrasi "Claude dalam Slack" yang lebih lama (dibersarakan pada 3 Ogos 2026) . Ia bukan chatbot per pengguna. Sebaliknya, Claude Tag adalah peserta tetap yang dikongsi dalam saluran Slack dengan identiti, ingatan, dan akses alatnya sendiri. Mana-mana ahli saluran yang dibenarkan boleh menandai @Claude untuk memberikan tugasan, dan AI berfungsi secara tak segerak di khalayak ramai .

Ia beroperasi dalam mod "persekitaran", mengikuti perbualan secara berterusan, mempelajari konteks saluran, dan secara proaktif menyampuk untuk menandakan kemas kini atau permukaan tugasan . Kebenarannya adalah terhad kepada saluran tempat ia berada, bukan kepada pengguna individu, membolehkan pentadbir mengkonfigurasi set alat, akses data, dan had perbelanjaan yang berbeza untuk setiap saluran .

Di belakang tabir, setiap sesi Claude Tag dijalankan pada model Opus 4.8 di dalam microVM Linux yang diuruskan oleh Anthropic, dengan kelayakan penyambung disimpan di luar VM, akses rangkaian proksi, dan alat baca sahaja untuk pengasingan . Penggunaan saluran dicaj kepada organisasi pada kadar API, bukan setiap tempat duduk, menyongsangkan model harga perisian perusahaan tradisional .

Implikasi Lebih Luas untuk Keselamatan Ejen AI Perusahaan

Penemuan Tego AI tidak wujud secara berasingan. Ia ditambah dengan dua insiden besar lain pada pertengahan 2026 yang bersama-sama mendedahkan krisis dalam keselamatan ejen AI perusahaan.

Mekanisme Pengesanan Tersembunyi Claude Code

Pada 30 Jun 2026, penyelidik bebas "Thereallo" melakukan kejuruteraan terbalik pada Claude Code dan menemui JavaScript yang dikaburkan yang secara senyap mengambil cap jari lokasi geografi pengguna (melalui semakan zon waktu) dan mengubah suai gesaan sistem menggunakan aksara Unicode yang kelihatan serupa — tanda petik kerinting dan bukannya yang lurus, garis miring dan bukannya sengkang — untuk mencipta tanda pengesanan sulit yang dapat dikesan oleh bahagian belakang Anthropic . Pangkalan Data Kerentanan Kebangsaan China (NVDB) mengeluarkan amaran keselamatan "pintu belakang" rasmi pada 8 Julai yang meliputi Claude Code versi 2.1.91 hingga 2.1.196 . Alibaba melarang Claude Code secara dalaman tidak lama selepas itu . Anthropic menyebutnya sebagai "eksperimen anti-penyalahgunaan" dan mengeluarkannya pada 1 Julai .

Kelemahan MCP di Seluruh Ekosistem

Infrastruktur Protokol Konteks Model (MCP) yang mendasari Claude Tag dan banyak ejen AI lain didapati mengandungi kecacatan reka bentuk sistemik. Penemuan utama dari tahun 2026:

• Kecacatan dalam pelaksanaan rujukan MCP yang melaksanakan perintah OS tanpa sanitasi mendedahkan anggaran ~200,000 contoh MCP terdedah merentas rantaian bekalan lebih daripada 150 juta muat turun pakej .
• Imbasan ke atas 560 pelayan MCP mendapati 38% tanpa sebarang pengesahan, 43% daripada CVE melibatkan exec() atau suntikan shell, dan 13% melibatkan lintasan laluan .
• Kelas kerentanan baharu telah muncul, termasuk "kerentanan berasaskan halusinasi" (HBV) di mana perihalan alat yang kabur menyebabkan LLM memberikan keistimewaan berlebihan kepada dirinya sendiri atau mengambil tindakan yang tidak diingini .
• Keracunan Alat, Serangan Tarik Tikar, dan Pembayang Silang Pelayan semuanya telah ditunjukkan dalam ekosistem MCP, termasuk bukti konsep di mana IDE Cursor telah dikompromi sepenuhnya melalui MCP .

Maksudnya untuk Perusahaan

Perusahaan yang menggunakan Claude Tag dan alat AI ejenik yang serupa menghadapi ancaman tiga kali ganda: permukaan serangan suntikan gesaan dalam lapisan pencetus ejen (penemuan Tego AI), pengesanan sisi vendor yang tidak telus dalam alat ejen (penjejak Claude Code), dan lalai infrastruktur yang pada asasnya tidak selamat dalam ekosistem MCP yang menghubungkan ejen kepada alat dan data.

Kegagalan identiti dan kawalan akses melata dengan cepat apabila ejen berterusan seperti Claude Tag mempunyai akses alat yang luas dan boleh dicetuskan oleh sebutan palsu . Tadbir urus API tradisional tidak mencukupi untuk aliran kerja ejenik kerana ejen tidak mengikuti model kebenaran per pengguna atau corak permintaan-tindak balas . Risiko rantaian bekalan adalah sangat besar: kerentanan dalam pelaksanaan rujukan MCP merebak ke setiap penggunaan hiliran . Ketelusan dan keboleh audit kekal isu kritikal — penjejak Claude Code telah dikaburkan dalam JavaScript yang dikecilkan dan ditemui hanya melalui kejuruteraan terbalik luaran, bermakna pasukan keselamatan perusahaan tidak boleh bergantung pada pendedahan kendiri vendor .

Eskalasi kawal selia sudah pun berlaku, dengan NVDB China mengeluarkan amaran peringkat negeri dan perusahaan seperti Alibaba mengeluarkan larangan terus . Gambaran gabungan adalah bahawa keselamatan ejen AI perusahaan pada tahun 2026 memerlukan pendekatan yang pada asasnya baharu—satu yang menganggap ejen berterusan sebagai infrastruktur kritikal dengan kawalan identiti, akses, dan rantaian bekalan yang ketat.

Pengajaran Utama

• Pencetus boleh dipalsukan: Claude Tag bertindak balas terhadap teks literal @Claude walaupun daripada sumber automatik, membolehkan serangan suntikan gesaan .
• Seni bina sentiasa hidup: Claude Tag adalah rakan sejawatan AI berterusan yang terhad kepada saluran, berjalan pada Opus 4.8 di dalam microVM, dengan pengebilan pada kadar API .
• Ancaman tiga kali ganda: Kerentanan Tego ditambah dengan penjejak tersembunyi Claude Code dan kecacatan infrastruktur MCP sistemik mewujudkan landskap risiko yang teruk untuk perusahaan .
• Kawalan proaktif diperlukan: Hadkan akses setiap saluran, audit tindakan ejen, naik taraf kepada spesifikasi MCP 2026, dan jalankan semakan keselamatan secara berkala .