Tego AI ontdekt kritieke kwetsbaarheid in Claude Tag Slack-integratie: hoe de 'always-on' AI-collega kan worden gekaapt

De kwetsbaarheid: @Claude kan worden nagemaakt

Op 14 juli 2026 publiceerde het Israëlische cybersecuritybedrijf Tego AI onderzoek waaruit een kritieke beveiligingszwakte blijkt in Claude Tag, de native Slack-integratie van Anthropic . Tego AI-onderzoekers zagen dat Claude Tag reageert op elk Slack-bericht met de letterlijke tekst @Claude, zelfs als dat bericht helemaal niet aan de AI was gericht door een echte, structurele Slack-vermelding .

Een aanvaller die toegang heeft tot een Slack-kanaal kan moeiteloos @Claude in een bericht stoppen dat afkomstig is van bots, webhooks of geautomatiseerde feeds. Hierdoor leest de agent het bericht, interpreteert het de context en kan het mogelijk ongeautoriseerde acties uitvoeren, zoals het lezen van gevoelige gegevens, het starten van toolcalls of het interactie aangaan met verbonden systemen, zonder dat de afzender dit daadwerkelijk van plan was of de juiste autorisatie had .

Kortom: het trigger-mechanisme kan worden vervalst. Een legitieme samenwerkingsfunctie verandert zo in een aanvalsoppervlak voor injectie, waarbij elk bericht met de trigger-tekst de aandacht en mogelijkheden van de agent kan kapen.

Hoe Claude Tag werkt als een 'always-on' AI-collega

Anthropic lanceerde Claude Tag op 23 juni 2026 als directe vervanger van de oudere "Claude in Slack"-integratie, die op 3 augustus 2026 wordt uitgefaseerd . Het is geen chatbot per gebruiker. Claude Tag is een blijvende, gedeelde deelnemer in een Slack-kanaal, met een eigen identiteit, geheugen en tooltoegang. Elke geautoriseerde kanaldeelnemer kan @Claude noemen om taken te geven, waarna de AI asynchroon in het openbaar werkt .

Het werkt in een zogeheten 'ambient mode': het volgt continu gesprekken, leert de context van het kanaal en kan uit zichzelf reageren om updates te melden of taken op te pakken . De bevoegdheden zijn beperkt tot het kanaal waarin het zich bevindt, niet tot een individuele gebruiker, waardoor beheerders per kanaal verschillende tools, gegevenstoegang en uitgavenlimieten kunnen instellen .

Achter de schermen draait elke Claude Tag-sessie op het Opus 4.8-model in een door Anthropic beheerde Linux-microVM. Inloggegevens voor connectoren blijven buiten de VM, de netwerktoegang verloopt via een proxy en de tools zijn read-only voor isolatie . Kanaalgebruik wordt aan de organisatie gefactureerd tegen API-tarieven, niet per gebruiker. Dit keert de traditionele prijsmodellen van bedrijfssoftware om .

Grotere implicaties voor beveiliging van AI-agents in bedrijven

De bevinding van Tego AI staat niet op zichzelf. Het stapelt zich op bij twee andere grote incidenten uit midden 2026, die samen een crisis in de beveiliging van AI-agents in bedrijven onthullen.

Het verborgen trackingmechanisme in Claude Code

Op 30 juni 2026 ontdekte onafhankelijk onderzoeker "Thereallo" na reverse-engineering van Claude Code een verborgen JavaScript-functie die stilletjes de geografische locatie van gebruikers bepaalde (via tijdzonecontroles) en de systeemprompts aanpaste met look-alike Unicode-tekens . De National Vulnerability Database (NVDB) van China gaf op 8 juli een formeel beveiligingsalert uit voor Claude Code-versies 2.1.91 tot en met 2.1.196 . Alibaba verbood Claude Code kort daarna intern . Anthropic noemde het een "anti-misbruikexperiment" en verwijderde de code op 1 juli .

Structurele MCP-kwetsbaarheden in het ecosysteem

De Model Context Protocol (MCP)-infrastructuur die Claude Tag en vele andere AI-agents ondersteunt, blijkt systemische ontwerpfouten te bevatten. Belangrijke bevindingen uit 2026:

• Een fout in de MCP-referentie-implementatie die besturingssysteemopdrachten uitvoert zonder controle, maakt naar schatting ~200.000 kwetsbare MCP-instanties bloot aan risico's, verspreid over een toeleveringsketen van meer dan 150 miljoen pakketdownloads .
• Uit een scan van 560 MCP-servers bleek dat 38% geen enkele authenticatie had; 43% van de CVEs heeft betrekking op exec()- of shell-injecties; 13% op path traversal .
• Er zijn nieuwe kwetsbaarheidsklassen opgedoken, waaronder "hallucinatie-gebaseerde kwetsbaarheden" (HBVs), waarbij vage toolbeschrijvingen ervoor zorgen dat het taalmodel zichzelf te veel bevoegdheden geeft of onbedoelde acties onderneemt .
• Toolvergiftiging, rugpull-aanvallen en cross-server-shadowing zijn allemaal gedemonstreerd in het MCP-ecosysteem, inclusief een proof-of-concept waarbij de Cursor IDE volledig werd gecompromitteerd via een MCP-aanval .

Wat dit betekent voor bedrijven

Bedrijven die Claude Tag en vergelijkbare AI-agents inzetten, worden geconfronteerd met een drievoudige dreiging: prompt-injectie-aanvalsoppervlakken in de agenttrigger-laag (Tego AI-bevinding), ondoorzichtige tracking aan de verkoperskant in agenttools (Claude Code-tracker) en fundamenteel onveilige infrastructuurstandaarden in het MCP-ecosysteem dat agents met tools en gegevens verbindt.

Identiteits- en toegangscontrolefouten escaleren snel wanneer een blijvende agent als Claude Tag brede tooltoegang heeft en kan worden geactiveerd door vervalste vermeldingen . Traditioneel API-beheer is ontoereikend voor agentische workflows, omdat agents niet de per-gebruiker machtigingsmodellen of vraag-antwoordpatronen volgen . Het toeleveringsketenrisico is enorm: een kwetsbaarheid in de MCP-referentie-implementatie verspreidt zich naar elke stroomafwaartse implementatie . Transparantie en auditbaarheid blijven kritieke kwesties — de Claude Code-tracker was verborgen in geminifieerd JavaScript en werd alleen ontdekt door externe reverse-engineering; beveiligingsteams in bedrijven kunnen dus niet vertrouwen op zelfrapportage door leveranciers .

Regelgeving verscherpt zich al, met staatsalerts van China's NVDB en directe verboden door bedrijven als Alibaba . Het totaalbeeld is dat de beveiliging van AI-agents in bedrijven in 2026 een fundamenteel nieuwe aanpak vereist, waarbij persistente agents worden behandeld als kritieke infrastructuur met strikte identiteits-, toegangs- en toeleveringsketencontroles.

Belangrijkste punten

• Vervalsbare trigger: Claude Tag reageert op de letterlijke tekst @Claude, zelfs van geautomatiseerde bronnen, wat prompt-injectieaanvallen mogelijk maakt .
• Always-on-architectuur: Claude Tag is een blijvende, op kanalen gerichte AI-collega die draait op Opus 4.8 in een microVM, met facturering tegen API-tarieven .
• Drievoudige dreiging: De Tego-kwetsbaarheid stapelt zich op bij de verborgen tracker in Claude Code en structurele MCP-infrastructuurfouten, wat een ernstig risicolandschap voor bedrijven creëert .
• Proactieve controles nodig: Beperk toegang per kanaal, audit agentacties, upgrade naar de MCP-specificatie van 2026 en voer regelmatige beveiligingsbeoordelingen uit .