Lỗ hổng nguy hiểm trong Claude Tag trên Slack: 'Đồng nghiệp AI' luôn trực tuyến có thể bị chiếm quyền

Lỗ hổng: @Claude có thể bị giả mạo

Ngày 14/7/2026, hãng an ninh mạng Tego AI công bố nghiên cứu xác định một điểm yếu bảo mật nghiêm trọng trong Claude Tag, tích hợp Slack gốc của Anthropic . Các nhà nghiên cứu của Tego AI quan sát thấy Claude Tag phản hồi bất kỳ tin nhắn Slack nào có chứa đúng văn bản @Claude — ngay cả khi tin nhắn đó không thực sự được gửi đến nó bằng một thẻ Slack có cấu trúc thực sự .

Kẻ tấn công có quyền truy cập vào một kênh Slack có thể chèn @Claude vào một tin nhắn từ bot, webhook hoặc nguồn cấp dữ liệu tự động, khiến tác nhân AI đọc tin nhắn, diễn giải ngữ cảnh và có khả năng thực hiện các hành động doanh nghiệp trái phép như đọc dữ liệu nhạy cảm, kích hoạt lệnh gọi công cụ hoặc tương tác với các hệ thống được kết nối mà không có sự cho phép thực sự của người gửi .

Nói ngắn gọn: cơ chế kích hoạt có thể bị giả mạo, biến một tính năng cộng tác hợp pháp thành bề mặt tấn công dựa trên tiêm nhiễm, nơi bất kỳ tin nhắn nào chứa chuỗi kích hoạt đều có thể chiếm quyền chú ý và khả năng của tác nhân AI.

Cách Claude Tag hoạt động như một 'Đồng nghiệp AI' Luôn Trực tuyến

Anthropic ra mắt Claude Tag vào ngày 23/6/2026, thay thế trực tiếp cho tích hợp "Claude in Slack" cũ (ngừng hoạt động vào ngày 3/8/2026) . Đây không phải là chatbot cho từng người dùng. Thay vào đó, Claude Tag là một người tham gia cố định, dùng chung trong một kênh Slack với danh tính, bộ nhớ và quyền truy cập công cụ riêng. Bất kỳ thành viên kênh được ủy quyền nào cũng có thể gắn thẻ @Claude để giao nhiệm vụ và AI hoạt động không đồng bộ một cách công khai .

Nó hoạt động ở chế độ "xung quanh", liên tục theo dõi các cuộc trò chuyện, học ngữ cảnh của kênh và chủ động tham gia để gắn cờ cập nhật hoặc đưa ra nhiệm vụ . Quyền của nó được giới hạn trong phạm vi kênh nó đang ở chứ không phải cho từng người dùng, cho phép quản trị viên cấu hình các bộ công cụ, quyền truy cập dữ liệu và giới hạn chi tiêu khác nhau cho mỗi kênh .

Đằng sau giao diện, mỗi phiên Claude Tag chạy trên mô hình Opus 4.8 bên trong một máy ảo vi mô Linux do Anthropic quản lý, với thông tin xác thực kết nối được giữ bên ngoài máy ảo, quyền truy cập mạng được ủy quyền và công cụ chỉ đọc để cách ly . Việc sử dụng kênh được tính phí cho tổ chức theo giá API, không phải theo từng ghế, đảo ngược mô hình định giá phần mềm doanh nghiệp truyền thống .

Ý nghĩa rộng hơn đối với Bảo mật Tác nhân AI Doanh nghiệp

Phát hiện của Tego AI không tồn tại độc lập. Nó kết hợp với hai sự cố lớn khác vào giữa năm 2026, cùng nhau tiết lộ một cuộc khủng hoảng trong bảo mật tác nhân AI doanh nghiệp.

Cơ chế theo dõi ẩn trong Claude Code

Ngày 30/6/2026, nhà nghiên cứu độc lập "Thereallo" đã dịch ngược Claude Code và phát hiện mã JavaScript bị làm rối âm thầm lấy dấu vân tay vị trí địa lý của người dùng (thông qua kiểm tra múi giờ) và sửa đổi lời nhắc hệ thống bằng các ký tự Unicode trông giống hệt nhau — dấu nháy đơn cong thay vì thẳng, dấu gạch chéo thay vì dấu gạch ngang — để tạo ra một dấu hiệu theo dõi ẩn mà hệ thống backend của Anthropic có thể phát hiện . Cơ sở dữ liệu Lỗ hổng Quốc gia Trung Quốc (NVDB) đã đưa ra cảnh báo an ninh "cửa hậu" chính thức vào ngày 8/7, áp dụng cho các phiên bản Claude Code 2.1.91 đến 2.1.196 . Alibaba đã cấm Claude Code nội bộ ngay sau đó . Anthropic gọi đây là một "thử nghiệm chống lạm dụng" và đã loại bỏ nó vào ngày 1/7 .

Lỗ hổng MCP trên toàn hệ sinh thái

Cơ sở hạ tầng Giao thức Ngữ cảnh Mô hình (MCP) nền tảng cho Claude Tag và nhiều tác nhân AI khác đã được phát hiện có chứa các lỗ hổng thiết kế mang tính hệ thống. Các phát hiện chính từ năm 2026:

• Một lỗ hổng trong triển khai tham chiếu MCP thực thi các lệnh hệ điều hành mà không làm sạch, khiến khoảng ~200.000 phiên bản MCP dễ bị tấn công trên toàn bộ chuỗi cung ứng với hơn 150 triệu lượt tải gói .
• Một cuộc quét 560 máy chủ MCP cho thấy 38% không có xác thực, 43% CVE liên quan đến exec() hoặc tiêm shell, và 13% liên quan đến vượt qua đường dẫn .
• Các lớp lỗ hổng mới đã xuất hiện, bao gồm "lỗ hổng dựa trên ảo giác" (HBV), nơi các mô tả công cụ mơ hồ khiến LLM tự cấp quá nhiều quyền hoặc thực hiện các hành động ngoài ý muốn .
• Đầu độc công cụ, Tấn công Rug Pull và Theo dõi chéo máy chủ đều đã được chứng minh trong hệ sinh thái MCP, bao gồm một bằng chứng về khái niệm nơi Cursor IDE đã bị xâm phạm hoàn toàn thông qua MCP .

Điều này có ý nghĩa gì đối với Doanh nghiệp

Các doanh nghiệp triển khai Claude Tag và các công cụ AI tác nhân tương tự phải đối mặt với mối đe dọa ba mặt: bề mặt tấn công tiêm nhiễm lời nhắc ở lớp kích hoạt tác nhân (phát hiện của Tego AI), theo dõi ẩn phía nhà cung cấp trong công cụ tác nhân (trình theo dõi Claude Code) và các mặc định cơ sở hạ tầng không an toàn về cơ bản trong hệ sinh thái MCP kết nối các tác nhân với công cụ và dữ liệu.

Sự cố về nhận dạng và kiểm soát truy cập xảy ra theo tầng khi một tác nhân cố định như Claude Tag có quyền truy cập công cụ rộng rãi và có thể bị kích hoạt bởi các thẻ giả mạo . Quản trị API truyền thống là không đủ cho các quy trình làm việc của tác nhân vì các tác nhân không tuân theo mô hình quyền cho mỗi người dùng hoặc mẫu yêu cầu-phản hồi . Rủi ro chuỗi cung ứng là rất lớn: một lỗ hổng trong triển khai tham chiếu MCP lan truyền đến mọi triển khai hạ nguồn . Tính minh bạch và khả năng kiểm toán vẫn là những vấn đề quan trọng — trình theo dõi Claude Code đã bị làm rối trong JavaScript nén và chỉ được phát hiện thông qua dịch ngược bên ngoài, có nghĩa là các nhóm bảo mật doanh nghiệp không thể dựa vào việc tự công bố của nhà cung cấp .

Sự leo thang về quy định đã được tiến hành, với việc NVDB của Trung Quốc đưa ra các cảnh báo cấp nhà nước và các doanh nghiệp như Alibaba đưa ra lệnh cấm hoàn toàn . Bức tranh tổng thể là bảo mật tác nhân AI doanh nghiệp trong năm 2026 đòi hỏi một cách tiếp cận hoàn toàn mới — một cách tiếp cận coi các tác nhân cố định là cơ sở hạ tầng quan trọng với các biện pháp kiểm soát nhận dạng, truy cập và chuỗi cung ứng nghiêm ngặt.

Những điểm chính

• Cơ chế kích hoạt có thể bị giả mạo: Claude Tag phản hồi văn bản đúng nghĩa đen @Claude ngay cả từ các nguồn tự động, cho phép tấn công tiêm nhiễm lời nhắc .
• Kiến trúc luôn trực tuyến: Claude Tag là một đồng nghiệp AI cố định, trong phạm vi kênh, chạy trên Opus 4.8 bên trong một máy ảo vi mô, với việc thanh toán theo giá API .
• Mối đe dọa ba mặt: Lỗ hổng Tego kết hợp với trình theo dõi ẩn của Claude Code và các lỗ hổng cơ sở hạ tầng MCP mang tính hệ thống tạo ra một bối cảnh rủi ro nghiêm trọng cho các doanh nghiệp .
• Cần các biện pháp kiểm soát chủ động: Giới hạn quyền truy cập theo kênh, kiểm toán hành động của tác nhân, nâng cấp lên thông số kỹ thuật MCP 2026 và tiến hành đánh giá bảo mật thường xuyên .