Med andra ord: triggermekanismen kan förfalskas, vilket förvandlar en legitim samarbetsfunktion till en injektionsbaserad attackyta där vilket meddelande som helst med triggersträngen kan kapa agentens uppmärksamhet och förmågor.

Hur Claude Tag fungerar som en "alltid-påslagen" AI-kollega

Anthropic lanserade Claude Tag den 23 juni 2026 som en direkt ersättare för den äldre "Claude in Slack"-integrationen (som fasas ut 3 augusti 2026) . Det är inte en chatbot per användare. Istället är Claude Tag en beständig, delad deltagare i en Slack-kanal med en egen identitet, eget minne och egna verktygsåtkomster. Alla auktoriserade kanalmedlemmar kan tagga @Claude för att tilldela uppgifter, och AI:n arbetar asynkront öppet i kanalen .

Den fungerar i ett "ambient"-läge, följer kontinuerligt konversationer, lär sig kanalkontext och kan proaktivt hoppa in för att flagga uppdateringar eller lyfta fram uppgifter . Dess behörigheter är begränsade till den kanal den befinner sig i, snarare än till en enskild användare, vilket gör att administratörer kan konfigurera olika verktyg, dataåtkomst och kostnadsgränser för varje kanal .

Bakom kulisserna körs varje Claude Tag-session på modellen Opus 4.8 i en Anthropic-hanterad Linux-mikroVM med inloggningsuppgifter utanför VM, proxysäkrad nätverksåtkomst och skrivskyddade verktyg för isolering . Kanalanvändning faktureras organisationen till API-priser, inte per sittplats, vilket vänder på traditionella prismodeller för företagsprogramvara .

Större implikationer för säkerheten i företags AI-agenter

Tego AI:s fynd existerar inte i ett vakuum. Det kombineras med två andra stora incidenter under mitten av 2026 som tillsammans avslöjar en kris för säkerheten i företags AI-agenter.

Den dolda spårningsmekanismen i Claude Code

Den 30 juni 2026 reverse-engineerade den oberoende forskaren "Thereallo" Claude Code och upptäckte obfuskerad JavaScript-kod som tyst fingeravtrycksläste användarnas geografiska plats (via tidszonskontroller) och ändrade systemprompter med förväxlingsbara Unicode-tecken – en krullad apostrof istället för en rak, ett snedstreck istället för ett tankstreck – för att skapa en dold spårningsmarkör som kunde upptäckas av Anthropics backend . Kinas National Vulnerability Database (NVDB) utfärdade en formell "bakdörr"-säkerhetsvarning den 8 juli som omfattade Claude Code-versioner 2.1.91 till 2.1.196 . Alibaba förbjöd Claude Code internt kort därefter . Anthropic kallade det ett "experiment mot missbruk" och tog bort det den 1 juli .

Ekosystemövergripande MCP-sårbarheter

Model Context Protocol (MCP)-infrastrukturen som ligger till grund för Claude Tag och många andra AI-agenter har visat sig innehålla systemiska designfel. Viktiga resultat från 2026:

• Ett fel i MCP-referensimplementationen som exekverar OS-kommandon utan sanering exponerade uppskattningsvis ~200 000 sårbara MCP-instanser i en leveranskedja med över 150M paketnedladdningar .
• En skanning av 560 MCP-servrar visade att 38% saknade autentisering, 43% av CVE:erna involverar exec()- eller shell-injektion, och 13% involverar sökvägsgenomgång .
• Nya sårbarhetsklasser har uppstått, inklusive "hallucinationsbaserade sårbarheter" (HBS) där vaga verktygsbeskrivningar får LLM:n att ge sig själv för många rättigheter eller vidta oavsiktliga åtgärder .
• Verktygsförgiftning, ”Rug Pull”-attacker och korsserver-skuggning har alla demonstrerats i MCP-ekosystemet, inklusive ett proof-of-concept där Cursor IDE fullständigt komprometterades via MCP .

Vad detta innebär för företag

Företag som använder Claude Tag och liknande agentiska AI-verktyg står inför ett trippelt hot: promptinjektionsattackytor i agentens triggerlager (Tego AI:s fynd), ogenomskinlig spårning på leverantörssidan i agentverktyg (Claude Code-spåraren) och i grunden osäkra infrastrukturstandarder i MCP-ekosystemet som kopplar samman agenter med verktyg och data.

Identitets- och åtkomstkontrollfel sprider sig snabbt när en beständig agent som Claude Tag har bred verktygsåtkomst och kan triggas av förfalskade omnämnanden . Traditionell API-styrning är otillräcklig för agentiska arbetsflöden eftersom agenter inte följer behörighetsmodeller per användare eller förfrågnings-svarsmönster . Leveranskedjerisken är enorm: en sårbarhet i MCP-referensimplementationen sprids till alla nedströmsdistributioner . Transparens och granskningsbarhet är fortfarande kritiska problem – Claude Code-spåraren var obfuskerad i minifierad JavaScript och upptäcktes endast genom extern reverse-engineering, vilket innebär att företags säkerhetsteam inte kan lita på att leverantörer själva rapporterar problem .

Regulatorisk upptrappning är redan igång, med Kinas NVDB som utfärdar varningar på statlig nivå och företag som Alibaba som inför direkta förbud . Helhetsbilden är att säkerheten för företags AI-agenter 2026 kräver ett fundamentalt nytt tillvägagångssätt – ett som behandlar beständiga agenter som kritisk infrastruktur med rigorösa identitets-, åtkomst- och leveranskedjekontroller.

Viktiga slutsatser

• Förfalskningsbar trigger: Claude Tag svarar på texten @Claude även från automatiserade källor, vilket möjliggör promptinjektionsattacker .
• Alltid-påslagen arkitektur: Claude Tag är en beständig, kanalbegränsad AI-kollega som körs på Opus 4.8 i en mikroVM, med fakturering till API-priser .
• Trippelt hot: Tego-sårbarheten kombineras med Claude Codes dolda spårare och systemiska MCP-infrastrukturbrister för att skapa en allvarlig riskbild för företag .
• Proaktiva kontroller behövs: Begränsa åtkomst per kanal, granska agentåtgärder, uppgradera till 2026 års MCP-specifikation och genomför regelbundna säkerhetsgenomgångar .

Med andra ord: triggermekanismen kan förfalskas, vilket förvandlar en legitim samarbetsfunktion till en injektionsbaserad attackyta där vilket meddelande som helst med triggersträngen kan kapa agentens uppmärksamhet och förmågor.

Hur Claude Tag fungerar som en "alltid-påslagen" AI-kollega

Anthropic lanserade Claude Tag den 23 juni 2026 som en direkt ersättare för den äldre "Claude in Slack"-integrationen (som fasas ut 3 augusti 2026) . Det är inte en chatbot per användare. Istället är Claude Tag en beständig, delad deltagare i en Slack-kanal med en egen identitet, eget minne och egna verktygsåtkomster. Alla auktoriserade kanalmedlemmar kan tagga @Claude för att tilldela uppgifter, och AI:n arbetar asynkront öppet i kanalen .

Den fungerar i ett "ambient"-läge, följer kontinuerligt konversationer, lär sig kanalkontext och kan proaktivt hoppa in för att flagga uppdateringar eller lyfta fram uppgifter . Dess behörigheter är begränsade till den kanal den befinner sig i, snarare än till en enskild användare, vilket gör att administratörer kan konfigurera olika verktyg, dataåtkomst och kostnadsgränser för varje kanal .

Bakom kulisserna körs varje Claude Tag-session på modellen Opus 4.8 i en Anthropic-hanterad Linux-mikroVM med inloggningsuppgifter utanför VM, proxysäkrad nätverksåtkomst och skrivskyddade verktyg för isolering . Kanalanvändning faktureras organisationen till API-priser, inte per sittplats, vilket vänder på traditionella prismodeller för företagsprogramvara .

Större implikationer för säkerheten i företags AI-agenter

Tego AI:s fynd existerar inte i ett vakuum. Det kombineras med två andra stora incidenter under mitten av 2026 som tillsammans avslöjar en kris för säkerheten i företags AI-agenter.

Den dolda spårningsmekanismen i Claude Code

Den 30 juni 2026 reverse-engineerade den oberoende forskaren "Thereallo" Claude Code och upptäckte obfuskerad JavaScript-kod som tyst fingeravtrycksläste användarnas geografiska plats (via tidszonskontroller) och ändrade systemprompter med förväxlingsbara Unicode-tecken – en krullad apostrof istället för en rak, ett snedstreck istället för ett tankstreck – för att skapa en dold spårningsmarkör som kunde upptäckas av Anthropics backend . Kinas National Vulnerability Database (NVDB) utfärdade en formell "bakdörr"-säkerhetsvarning den 8 juli som omfattade Claude Code-versioner 2.1.91 till 2.1.196 . Alibaba förbjöd Claude Code internt kort därefter . Anthropic kallade det ett "experiment mot missbruk" och tog bort det den 1 juli .

Ekosystemövergripande MCP-sårbarheter

Model Context Protocol (MCP)-infrastrukturen som ligger till grund för Claude Tag och många andra AI-agenter har visat sig innehålla systemiska designfel. Viktiga resultat från 2026:

• Ett fel i MCP-referensimplementationen som exekverar OS-kommandon utan sanering exponerade uppskattningsvis ~200 000 sårbara MCP-instanser i en leveranskedja med över 150M paketnedladdningar .
• En skanning av 560 MCP-servrar visade att 38% saknade autentisering, 43% av CVE:erna involverar exec()- eller shell-injektion, och 13% involverar sökvägsgenomgång .
• Nya sårbarhetsklasser har uppstått, inklusive "hallucinationsbaserade sårbarheter" (HBS) där vaga verktygsbeskrivningar får LLM:n att ge sig själv för många rättigheter eller vidta oavsiktliga åtgärder .
• Verktygsförgiftning, ”Rug Pull”-attacker och korsserver-skuggning har alla demonstrerats i MCP-ekosystemet, inklusive ett proof-of-concept där Cursor IDE fullständigt komprometterades via MCP .

Vad detta innebär för företag

Företag som använder Claude Tag och liknande agentiska AI-verktyg står inför ett trippelt hot: promptinjektionsattackytor i agentens triggerlager (Tego AI:s fynd), ogenomskinlig spårning på leverantörssidan i agentverktyg (Claude Code-spåraren) och i grunden osäkra infrastrukturstandarder i MCP-ekosystemet som kopplar samman agenter med verktyg och data.

Identitets- och åtkomstkontrollfel sprider sig snabbt när en beständig agent som Claude Tag har bred verktygsåtkomst och kan triggas av förfalskade omnämnanden . Traditionell API-styrning är otillräcklig för agentiska arbetsflöden eftersom agenter inte följer behörighetsmodeller per användare eller förfrågnings-svarsmönster . Leveranskedjerisken är enorm: en sårbarhet i MCP-referensimplementationen sprids till alla nedströmsdistributioner . Transparens och granskningsbarhet är fortfarande kritiska problem – Claude Code-spåraren var obfuskerad i minifierad JavaScript och upptäcktes endast genom extern reverse-engineering, vilket innebär att företags säkerhetsteam inte kan lita på att leverantörer själva rapporterar problem .

Regulatorisk upptrappning är redan igång, med Kinas NVDB som utfärdar varningar på statlig nivå och företag som Alibaba som inför direkta förbud . Helhetsbilden är att säkerheten för företags AI-agenter 2026 kräver ett fundamentalt nytt tillvägagångssätt – ett som behandlar beständiga agenter som kritisk infrastruktur med rigorösa identitets-, åtkomst- och leveranskedjekontroller.

Viktiga slutsatser

• Förfalskningsbar trigger: Claude Tag svarar på texten @Claude även från automatiserade källor, vilket möjliggör promptinjektionsattacker .
• Alltid-påslagen arkitektur: Claude Tag är en beständig, kanalbegränsad AI-kollega som körs på Opus 4.8 i en mikroVM, med fakturering till API-priser .
• Trippelt hot: Tego-sårbarheten kombineras med Claude Codes dolda spårare och systemiska MCP-infrastrukturbrister för att skapa en allvarlig riskbild för företag .
• Proaktiva kontroller behövs: Begränsa åtkomst per kanal, granska agentåtgärder, uppgradera till 2026 års MCP-specifikation och genomför regelbundna säkerhetsgenomgångar .