Kortom: het trigger-mechanisme kan worden vervalst. Een legitieme samenwerkingsfunctie verandert zo in een aanvalsoppervlak voor injectie, waarbij elk bericht met de trigger-tekst de aandacht en mogelijkheden van de agent kan kapen.

Hoe Claude Tag werkt als een 'always-on' AI-collega

Anthropic lanceerde Claude Tag op 23 juni 2026 als directe vervanger van de oudere "Claude in Slack"-integratie, die op 3 augustus 2026 wordt uitgefaseerd . Het is geen chatbot per gebruiker. Claude Tag is een blijvende, gedeelde deelnemer in een Slack-kanaal, met een eigen identiteit, geheugen en tooltoegang. Elke geautoriseerde kanaldeelnemer kan @Claude noemen om taken te geven, waarna de AI asynchroon in het openbaar werkt .

Het werkt in een zogeheten 'ambient mode': het volgt continu gesprekken, leert de context van het kanaal en kan uit zichzelf reageren om updates te melden of taken op te pakken . De bevoegdheden zijn beperkt tot het kanaal waarin het zich bevindt, niet tot een individuele gebruiker, waardoor beheerders per kanaal verschillende tools, gegevenstoegang en uitgavenlimieten kunnen instellen .

Achter de schermen draait elke Claude Tag-sessie op het Opus 4.8-model in een door Anthropic beheerde Linux-microVM. Inloggegevens voor connectoren blijven buiten de VM, de netwerktoegang verloopt via een proxy en de tools zijn read-only voor isolatie . Kanaalgebruik wordt aan de organisatie gefactureerd tegen API-tarieven, niet per gebruiker. Dit keert de traditionele prijsmodellen van bedrijfssoftware om .

Grotere implicaties voor beveiliging van AI-agents in bedrijven

De bevinding van Tego AI staat niet op zichzelf. Het stapelt zich op bij twee andere grote incidenten uit midden 2026, die samen een crisis in de beveiliging van AI-agents in bedrijven onthullen.

Het verborgen trackingmechanisme in Claude Code

Op 30 juni 2026 ontdekte onafhankelijk onderzoeker "Thereallo" na reverse-engineering van Claude Code een verborgen JavaScript-functie die stilletjes de geografische locatie van gebruikers bepaalde (via tijdzonecontroles) en de systeemprompts aanpaste met look-alike Unicode-tekens . De National Vulnerability Database (NVDB) van China gaf op 8 juli een formeel beveiligingsalert uit voor Claude Code-versies 2.1.91 tot en met 2.1.196 . Alibaba verbood Claude Code kort daarna intern . Anthropic noemde het een "anti-misbruikexperiment" en verwijderde de code op 1 juli .

Structurele MCP-kwetsbaarheden in het ecosysteem

De Model Context Protocol (MCP)-infrastructuur die Claude Tag en vele andere AI-agents ondersteunt, blijkt systemische ontwerpfouten te bevatten. Belangrijke bevindingen uit 2026:

• Een fout in de MCP-referentie-implementatie die besturingssysteemopdrachten uitvoert zonder controle, maakt naar schatting ~200.000 kwetsbare MCP-instanties bloot aan risico's, verspreid over een toeleveringsketen van meer dan 150 miljoen pakketdownloads .
• Uit een scan van 560 MCP-servers bleek dat 38% geen enkele authenticatie had; 43% van de CVEs heeft betrekking op exec()- of shell-injecties; 13% op path traversal .
• Er zijn nieuwe kwetsbaarheidsklassen opgedoken, waaronder "hallucinatie-gebaseerde kwetsbaarheden" (HBVs), waarbij vage toolbeschrijvingen ervoor zorgen dat het taalmodel zichzelf te veel bevoegdheden geeft of onbedoelde acties onderneemt .
• Toolvergiftiging, rugpull-aanvallen en cross-server-shadowing zijn allemaal gedemonstreerd in het MCP-ecosysteem, inclusief een proof-of-concept waarbij de Cursor IDE volledig werd gecompromitteerd via een MCP-aanval .

Wat dit betekent voor bedrijven

Bedrijven die Claude Tag en vergelijkbare AI-agents inzetten, worden geconfronteerd met een drievoudige dreiging: prompt-injectie-aanvalsoppervlakken in de agenttrigger-laag (Tego AI-bevinding), ondoorzichtige tracking aan de verkoperskant in agenttools (Claude Code-tracker) en fundamenteel onveilige infrastructuurstandaarden in het MCP-ecosysteem dat agents met tools en gegevens verbindt.

Identiteits- en toegangscontrolefouten escaleren snel wanneer een blijvende agent als Claude Tag brede tooltoegang heeft en kan worden geactiveerd door vervalste vermeldingen . Traditioneel API-beheer is ontoereikend voor agentische workflows, omdat agents niet de per-gebruiker machtigingsmodellen of vraag-antwoordpatronen volgen . Het toeleveringsketenrisico is enorm: een kwetsbaarheid in de MCP-referentie-implementatie verspreidt zich naar elke stroomafwaartse implementatie . Transparantie en auditbaarheid blijven kritieke kwesties — de Claude Code-tracker was verborgen in geminifieerd JavaScript en werd alleen ontdekt door externe reverse-engineering; beveiligingsteams in bedrijven kunnen dus niet vertrouwen op zelfrapportage door leveranciers .

Regelgeving verscherpt zich al, met staatsalerts van China's NVDB en directe verboden door bedrijven als Alibaba . Het totaalbeeld is dat de beveiliging van AI-agents in bedrijven in 2026 een fundamenteel nieuwe aanpak vereist, waarbij persistente agents worden behandeld als kritieke infrastructuur met strikte identiteits-, toegangs- en toeleveringsketencontroles.

Belangrijkste punten

• Vervalsbare trigger: Claude Tag reageert op de letterlijke tekst @Claude, zelfs van geautomatiseerde bronnen, wat prompt-injectieaanvallen mogelijk maakt .
• Always-on-architectuur: Claude Tag is een blijvende, op kanalen gerichte AI-collega die draait op Opus 4.8 in een microVM, met facturering tegen API-tarieven .
• Drievoudige dreiging: De Tego-kwetsbaarheid stapelt zich op bij de verborgen tracker in Claude Code en structurele MCP-infrastructuurfouten, wat een ernstig risicolandschap voor bedrijven creëert .
• Proactieve controles nodig: Beperk toegang per kanaal, audit agentacties, upgrade naar de MCP-specificatie van 2026 en voer regelmatige beveiligingsbeoordelingen uit .

Kortom: het trigger-mechanisme kan worden vervalst. Een legitieme samenwerkingsfunctie verandert zo in een aanvalsoppervlak voor injectie, waarbij elk bericht met de trigger-tekst de aandacht en mogelijkheden van de agent kan kapen.

Hoe Claude Tag werkt als een 'always-on' AI-collega

Anthropic lanceerde Claude Tag op 23 juni 2026 als directe vervanger van de oudere "Claude in Slack"-integratie, die op 3 augustus 2026 wordt uitgefaseerd . Het is geen chatbot per gebruiker. Claude Tag is een blijvende, gedeelde deelnemer in een Slack-kanaal, met een eigen identiteit, geheugen en tooltoegang. Elke geautoriseerde kanaldeelnemer kan @Claude noemen om taken te geven, waarna de AI asynchroon in het openbaar werkt .

Het werkt in een zogeheten 'ambient mode': het volgt continu gesprekken, leert de context van het kanaal en kan uit zichzelf reageren om updates te melden of taken op te pakken . De bevoegdheden zijn beperkt tot het kanaal waarin het zich bevindt, niet tot een individuele gebruiker, waardoor beheerders per kanaal verschillende tools, gegevenstoegang en uitgavenlimieten kunnen instellen .

Achter de schermen draait elke Claude Tag-sessie op het Opus 4.8-model in een door Anthropic beheerde Linux-microVM. Inloggegevens voor connectoren blijven buiten de VM, de netwerktoegang verloopt via een proxy en de tools zijn read-only voor isolatie . Kanaalgebruik wordt aan de organisatie gefactureerd tegen API-tarieven, niet per gebruiker. Dit keert de traditionele prijsmodellen van bedrijfssoftware om .

Grotere implicaties voor beveiliging van AI-agents in bedrijven

De bevinding van Tego AI staat niet op zichzelf. Het stapelt zich op bij twee andere grote incidenten uit midden 2026, die samen een crisis in de beveiliging van AI-agents in bedrijven onthullen.

Het verborgen trackingmechanisme in Claude Code

Op 30 juni 2026 ontdekte onafhankelijk onderzoeker "Thereallo" na reverse-engineering van Claude Code een verborgen JavaScript-functie die stilletjes de geografische locatie van gebruikers bepaalde (via tijdzonecontroles) en de systeemprompts aanpaste met look-alike Unicode-tekens . De National Vulnerability Database (NVDB) van China gaf op 8 juli een formeel beveiligingsalert uit voor Claude Code-versies 2.1.91 tot en met 2.1.196 . Alibaba verbood Claude Code kort daarna intern . Anthropic noemde het een "anti-misbruikexperiment" en verwijderde de code op 1 juli .

Structurele MCP-kwetsbaarheden in het ecosysteem

De Model Context Protocol (MCP)-infrastructuur die Claude Tag en vele andere AI-agents ondersteunt, blijkt systemische ontwerpfouten te bevatten. Belangrijke bevindingen uit 2026:

• Een fout in de MCP-referentie-implementatie die besturingssysteemopdrachten uitvoert zonder controle, maakt naar schatting ~200.000 kwetsbare MCP-instanties bloot aan risico's, verspreid over een toeleveringsketen van meer dan 150 miljoen pakketdownloads .
• Uit een scan van 560 MCP-servers bleek dat 38% geen enkele authenticatie had; 43% van de CVEs heeft betrekking op exec()- of shell-injecties; 13% op path traversal .
• Er zijn nieuwe kwetsbaarheidsklassen opgedoken, waaronder "hallucinatie-gebaseerde kwetsbaarheden" (HBVs), waarbij vage toolbeschrijvingen ervoor zorgen dat het taalmodel zichzelf te veel bevoegdheden geeft of onbedoelde acties onderneemt .
• Toolvergiftiging, rugpull-aanvallen en cross-server-shadowing zijn allemaal gedemonstreerd in het MCP-ecosysteem, inclusief een proof-of-concept waarbij de Cursor IDE volledig werd gecompromitteerd via een MCP-aanval .

Wat dit betekent voor bedrijven

Bedrijven die Claude Tag en vergelijkbare AI-agents inzetten, worden geconfronteerd met een drievoudige dreiging: prompt-injectie-aanvalsoppervlakken in de agenttrigger-laag (Tego AI-bevinding), ondoorzichtige tracking aan de verkoperskant in agenttools (Claude Code-tracker) en fundamenteel onveilige infrastructuurstandaarden in het MCP-ecosysteem dat agents met tools en gegevens verbindt.

Identiteits- en toegangscontrolefouten escaleren snel wanneer een blijvende agent als Claude Tag brede tooltoegang heeft en kan worden geactiveerd door vervalste vermeldingen . Traditioneel API-beheer is ontoereikend voor agentische workflows, omdat agents niet de per-gebruiker machtigingsmodellen of vraag-antwoordpatronen volgen . Het toeleveringsketenrisico is enorm: een kwetsbaarheid in de MCP-referentie-implementatie verspreidt zich naar elke stroomafwaartse implementatie . Transparantie en auditbaarheid blijven kritieke kwesties — de Claude Code-tracker was verborgen in geminifieerd JavaScript en werd alleen ontdekt door externe reverse-engineering; beveiligingsteams in bedrijven kunnen dus niet vertrouwen op zelfrapportage door leveranciers .

Regelgeving verscherpt zich al, met staatsalerts van China's NVDB en directe verboden door bedrijven als Alibaba . Het totaalbeeld is dat de beveiliging van AI-agents in bedrijven in 2026 een fundamenteel nieuwe aanpak vereist, waarbij persistente agents worden behandeld als kritieke infrastructuur met strikte identiteits-, toegangs- en toeleveringsketencontroles.

Belangrijkste punten

• Vervalsbare trigger: Claude Tag reageert op de letterlijke tekst @Claude, zelfs van geautomatiseerde bronnen, wat prompt-injectieaanvallen mogelijk maakt .
• Always-on-architectuur: Claude Tag is een blijvende, op kanalen gerichte AI-collega die draait op Opus 4.8 in een microVM, met facturering tegen API-tarieven .
• Drievoudige dreiging: De Tego-kwetsbaarheid stapelt zich op bij de verborgen tracker in Claude Code en structurele MCP-infrastructuurfouten, wat een ernstig risicolandschap voor bedrijven creëert .
• Proactieve controles nodig: Beperk toegang per kanaal, audit agentacties, upgrade naar de MCP-specificatie van 2026 en voer regelmatige beveiligingsbeoordelingen uit .