Tego AI виявляє критичну вразливість Claude Tag у Slack: як «завжди активний» ШІ-колега може бути викрадений

Anthropic запустила Claude Tag 23 червня 2026 року як пряму заміну старішої інтеграції "Claude in Slack" (припинено 3 серпня 2026 року) . Це не персональний чат-бот. Натомість Claude Tag — це постійний, спільний учасник каналу Slack із власною ідентичністю, пам’яттю та доступом до інструментів. Будь-який авторизований учасник каналу може згадати @Claude, щоб доручити завдання, а ШІ працює асинхронно у відкритому режимі .

Він працює в "амбієнтному" режимі, постійно стежачи за розмовами, вивчаючи контекст каналу та проактивно втручаючись, щоб позначати оновлення або виявляти завдання . Його дозволи обмежені каналом, у якому він перебуває, а не окремим користувачем, що дозволяє адміністраторам налаштовувати різні набори інструментів, доступ до даних та ліміти витрат для кожного каналу .

За лаштунками кожен сеанс Claude Tag працює на моделі Opus 4.8 всередині мікровіртуальної машини Linux під керуванням Anthropic, де облікові дані конекторів зберігаються за межами ВМ, мережевий доступ проксюється, а інструменти мають режим "тільки читання" для ізоляції . Використання каналу виставляється рахунок організації за цінами API, а не за робоче місце, що перевертає традиційні моделі ціноутворення корпоративного програмного забезпечення .

Ширші наслідки для безпеки корпоративних ШІ-агентів

Висновок Tego AI не існує ізольовано. Він посилюється двома іншими великими інцидентами середини 2026 року, які разом виявляють кризу в безпеці корпоративних ШІ-агентів.

Прихований механізм відстеження в Claude Code

30 червня 2026 року незалежний дослідник "Thereallo" зробив зворотну розробку Claude Code і виявив обфусцований JavaScript, який безшумно знімав відбитки географічного розташування користувачів (через перевірку часових поясів) і модифікував системні підказки, використовуючи символи Unicode, схожі на оригінали (наприклад, закруглений апостроф замість прямого, слеш замість тире), щоб створити приховану позначку відстеження, виявну бекендом Anthropic . Національна база даних вразливостей Китаю (NVDB) 8 липня видала офіційне попередження про "бекдор" для версій Claude Code 2.1.91–2.1.196 . Alibaba заборонила Claude Code внутрішньо невдовзі після цього . Anthropic назвав це "експериментом проти зловживань" і видалив функцію 1 липня .

Вразливості екосистеми MCP

Інфраструктура Model Context Protocol (MCP), яка лежить в основі Claude Tag та багатьох інших ШІ-агентів, виявилася такою, що має системні недоліки проєктування. Ключові висновки 2026 року:

• Недолік у референсній реалізації MCP, який виконує команди ОС без санітизації, виявив приблизно 200 000 вразливих екземплярів MCP у ланцюжку постачання, що охоплює 150+ мільйонів завантажень пакетів .
• Сканування 560 серверів MCP показало, що 38% не мають жодної автентифікації, 43% CVE включають exec() або ін’єкцію оболонки, а 13% — обхід шляху .
• Виникли нові класи вразливостей, включаючи "вразливості на основі галюцинацій" (HBVs), де нечіткі описи інструментів змушують LLM надавати собі зайві привілеї або виконувати ненавмисні дії .
• Було продемонстровано отруєння інструментів, Rug Pull атаки та міжсерверне затінення в екосистемі MCP, включаючи доказ концепції, де Cursor IDE було повністю скомпрометовано через MCP .

Що це означає для підприємств

Підприємства, які впроваджують Claude Tag та подібні агентивні ШІ-інструменти, стикаються з потрійною загрозою: поверхні атак ін’єкцій підказок у шарі тригеру агента (висновок Tego AI), непрозоре відстеження на стороні постачальника в інструментах агента (трекер Claude Code) і фундаментально небезпечні інфраструктурні налаштування за замовчуванням в екосистемі MCP, яка з’єднує агентів з інструментами та даними.

Збої ідентифікації та контролю доступу швидко каскадуються, коли постійний агент, як-от Claude Tag, має широкий доступ до інструментів і може бути активований підробленими згадуваннями . Традиційного управління API недостатньо для агентивних робочих процесів, оскільки агенти не дотримуються моделей дозволів на одного користувача або патернів "запит-відповідь" . Ризик ланцюжка постачання величезний: вразливість у референсній реалізації MCP поширюється на всі нижчі розгортання . Прозорість і можливість аудиту залишаються критичними проблемами — трекер Claude Code був прихований у мініфікованому JavaScript і виявлений лише завдяки зовнішній зворотній розробці, тобто корпоративні команди безпеки не можуть покладатися на самостійне розкриття інформації постачальником .

Регуляторна ескалація вже триває: Китайська NVDB видала попередження на рівні штату, а такі підприємства, як Alibaba, вводять повні заборони . Загальна картина така, що безпека корпоративних ШІ-агентів у 2026 році вимагає принципово нового підходу — такого, який розглядає постійних агентів як критичну інфраструктуру з жорстким контролем ідентифікації, доступу та ланцюжка постачання.

Ключові висновки

• Підроблюваний тригер: Claude Tag реагує на буквальний текст @Claude навіть від автоматизованих джерел, що дозволяє атаки ін’єкцій підказок .
• Архітектура "завжди ввімкнено": Claude Tag — це постійний ШІ-колега, обмежений каналом, що працює на Opus 4.8 всередині мікро-ВМ з виставленням рахунків за цінами API .
• Потрійна загроза: Вразливість Tego посилюється прихованим трекером Claude Code та системними недоліками інфраструктури MCP, створюючи серйозний ландшафт ризиків для підприємств .
• Необхідні проактивні заходи: Обмежуйте доступ за каналами, проводьте аудит дій агента, оновлюйте до специфікації MCP 2026 року та регулярно проводьте перевірки безпеки .