Alerta de Segurança: Claude Tag, o Novo 'Colega de IA' do Slack, Apresenta Falha que Permite Sequestro via Menção Falsa

A Vulnerabilidade: Como o @Claude Pode Ser Falsificado

Em 14 de julho de 2026, a empresa de cibersegurança Tego AI publicou uma pesquisa identificando uma falha de segurança crítica no Claude Tag, a integração nativa da Anthropic com o Slack . Os pesquisadores da Tego AI observaram que o Claude Tag responde a qualquer mensagem no Slack que contenha o texto literal @Claude — mesmo quando essa mensagem não foi realmente endereçada a ele por meio de uma menção estrutural genuína do Slack .

Um invasor que obtenha acesso a um canal do Slack pode injetar @Claude em uma mensagem vinda de bots, webhooks ou feeds automatizados. Isso faz com que o agente leia a mensagem, interprete seu contexto e, potencialmente, execute ações empresariais não autorizadas, como ler dados confidenciais, acionar chamadas de ferramentas ou interagir com sistemas conectados sem a intenção genuína do remetente ou a devida autorização .

Em resumo: o mecanismo de ativação pode ser falsificado, transformando um recurso legítimo de colaboração em uma superfície de ataque baseada em injeção de comandos, onde qualquer mensagem contendo a string de gatilho pode sequestrar a atenção e as capacidades do agente.

Como o Claude Tag Opera como um 'Colega de IA Sempre Ativo'

A Anthropic lançou o Claude Tag em 23 de junho de 2026, como um substituto direto para a antiga integração "Claude no Slack" (aposentada em 3 de agosto de 2026) . Ele não é um chatbot por usuário. Em vez disso, o Claude Tag é um participante persistente e compartilhado dentro de um canal do Slack, com sua própria identidade, memória e acesso a ferramentas. Qualquer membro autorizado do canal pode marcar @Claude para atribuir tarefas, e a IA trabalha de forma assíncrona e aberta no canal .

Ele opera em um modo "ambiente", seguindo continuamente as conversas, aprendendo o contexto do canal e tomando a iniciativa de intervir proativamente para sinalizar atualizações ou destacar tarefas . Suas permissões são definidas para o canal em que reside, e não para um usuário individual, permitindo que os administradores configurem diferentes conjuntos de ferramentas, acesso a dados e limites de gastos para cada canal .

Nos bastidores, cada sessão do Claude Tag é executada no modelo Opus 4.8 dentro de uma microVM Linux gerenciada pela Anthropic, com as credenciais dos conectores mantidas fora da VM, acesso à rede por meio de proxy e ferramentas somente leitura para isolamento . O uso do canal é faturado para a organização com base nas taxas de API, e não por assento, invertendo os modelos tradicionais de precificação de software empresarial .

Implicações Mais Amplas para a Segurança de Agentes de IA Empresariais

A descoberta da Tego AI não existe isoladamente. Ela se soma a outros dois grandes incidentes em meados de 2026 que, juntos, revelam uma crise na segurança de agentes de IA empresariais.

O Mecanismo de Rastreamento Oculto no Claude Code

Em 30 de junho de 2026, o pesquisador independente "Thereallo" fez a engenharia reversa do Claude Code e descobriu um código JavaScript ofuscado que silenciosamente coletava a localização geográfica dos usuários (por meio de verificações de fuso horário) e modificava os prompts do sistema usando caracteres Unicode semelhantes — um apóstrofo curvo em vez de um reto, uma barra em vez de um traço — para criar uma marca de rastreamento furtiva detectável pelo backend da Anthropic . O Banco de Dados Nacional de Vulnerabilidades da China (NVDB) emitiu um alerta formal de "backdoor" de segurança em 8 de julho, abrangendo as versões 2.1.91 a 2.1.196 do Claude Code . A Alibaba proibiu o Claude Code internamente logo depois . A Anthropic chamou o mecanismo de um "experimento antiahuso" e o removeu em 1º de julho .

Vulnerabilidades Generalizadas no Ecossistema MCP

A infraestrutura do Model Context Protocol (MCP), que sustenta o Claude Tag e muitos outros agentes de IA, foi considerada como contendo falhas de design sistêmicas. Principais descobertas de 2026:

• Uma falha na implementação de referência do MCP que executa comandos do sistema operacional sem sanitização expôs cerca de 200 mil instâncias vulneráveis do MCP em uma cadeia de suprimentos com mais de 150 milhões de downloads de pacotes .
• Uma varredura de 560 servidores MCP descobriu que 38% não tinham autenticação, 43% das CVEs envolvem exec() ou injeção de shell, e 13% envolvem path traversal .
• Novas classes de vulnerabilidade surgiram, incluindo as "vulnerabilidades baseadas em alucinação" (HBVs), onde descrições vagas de ferramentas fazem com que o LLM se autoprivilegie demais ou execute ações não intencionais .
• Envenenamento de ferramentas, ataques do tipo 'Rug Pull' e sombreamento entre servidores foram todos demonstrados no ecossistema MCP, incluindo uma prova de conceito onde o IDE Cursor foi totalmente comprometido via MCP .

O Que Isso Significa para as Empresas

As empresas que implantam o Claude Tag e ferramentas de IA agêntica semelhantes enfrentam uma ameaça tripla: superfícies de ataque de injeção de prompt na camada de ativação do agente (descoberta da Tego AI), rastreamento opaco do lado do fornecedor nas ferramentas do agente (rastreador do Claude Code) e padrões de infraestrutura fundamentalmente inseguros no ecossistema MCP que conecta agentes a ferramentas e dados.

As falhas de identidade e controle de acesso se propagam em cascata rapidamente quando um agente persistente como o Claude Tag tem acesso amplo a ferramentas e pode ser acionado por menções falsificadas . A governança tradicional de API é insuficiente para fluxos de trabalho agênticos, porque os agentes não seguem modelos de permissão por usuário ou padrões de requisição-resposta . O risco na cadeia de suprimentos é enorme: uma vulnerabilidade na implementação de referência do MCP se propaga para todas as implantações a jusante . A transparência e a auditabilidade continuam sendo questões críticas — o rastreador do Claude Code foi ofuscado em JavaScript minificado e descoberto apenas por engenharia reversa externa, o que significa que as equipes de segurança das empresas não podem confiar na autodivulgação dos fornecedores .

A escalada regulatória já está em andamento, com o NVDB da China emitindo alertas em nível estadual e empresas como a Alibaba emitindo proibições totais . O quadro geral é que a segurança de agentes de IA empresariais em 2026 exige uma abordagem fundamentalmente nova — uma que trate os agentes persistentes como infraestrutura crítica, com controles rigorosos de identidade, acesso e cadeia de suprimentos.

Principais Conclusões

• Gatilho falsificável: o Claude Tag responde ao texto literal @Claude mesmo quando vindo de fontes automatizadas, permitindo ataques de injeção de prompt .
• Arquitetura sempre ativa: o Claude Tag é um colega de IA persistente com escopo definido por canal, executado no modelo Opus 4.8 dentro de uma microVM, com faturamento baseado em taxas de API .
• Ameaça tripla: a vulnerabilidade da Tego se soma ao rastreador oculto do Claude Code e às falhas sistêmicas da infraestrutura MCP, criando um cenário de risco severo para as empresas .
• Controles proativos necessários: escopo de acesso por canal, audite as ações dos agentes, atualize para a especificação MCP de 2026 e realize revisões de segurança regulares .