Tego AI 揭露 Claude Tag 關鍵漏洞：Slack 上嘅「長開」AI 同事隨時被騎劫

佢以一種「環境模式」（ambient mode）運作，會不斷跟貼對話、學習頻道上文下理，仲會主動出聲，提醒更新或者提出任務 ^MM。佢嘅權限係局限喺佢所處嘅頻道，而唔係綁定喺個別用戶身上，令管理員可以為每個頻道設定唔同嘅工具組合、數據存取權同開支限額 ^SDR。

背後嘅運作係，每個 Claude Tag 會話都喺 Opus 4.8 模型上運行，處於一個由 Anthropic 管理嘅 Linux microVM 入面，連接器嘅憑證會放喺 VM 外面，網絡存取要經過代理，而工具亦設定為唯讀，以達到隔離效果 ^D。頻道嘅使用量會以 API 費率向機構收費，唔係按人頭計，呢個做法顛覆咗傳統企業軟件嘅定價模式 ^SD。

對企業 AI 代理安全嘅更深遠影響

Tego AI 呢個發現唔係獨立事件。佢同 2026 年中嘅另外兩宗重大事件夾埋一齊，揭示咗企業 AI 代理安全正面臨一場危機。

Claude Code 隱藏追蹤機制

2026年6月30日，獨立研究員 「Thereallo」 反向工程咗 Claude Code，發現裡面有經過混淆處理嘅 JavaScript，會靜靜噉 為用戶嘅地理位置建立指紋（透過時區檢查），仲 用外觀相似嘅 Unicode 字符改動系統提示——例如用曲線撇號代替直線撇號、用斜線代替連字號——嚟建立一個 Anthropic 後端可以偵測到嘅隱形追蹤標記 ^RAA。中國國家漏洞數據庫（NVDB）喺7月8日發出正式「後門」安全警報，涵蓋 Claude Code 2.1.91 至 2.1.196 版本 ^RW。阿里巴巴隨後內部禁用咗 Claude Code ^I。Anthropic 稱呢個只係一個「反濫用實驗」，並喺7月1日將佢移除 ^M。

生態系統層面嘅 MCP 漏洞

支撐 Claude Tag 同好多其他 AI 代理嘅 Model Context Protocol (MCP) 基建，被發現存在 系統性嘅設計缺陷。2026年嘅主要發現包括：

• MCP 參考實作有一個缺陷，會執行作業系統指令而唔做消毒處理，令到一個橫跨超過 1.5 億次套件下載嘅供應鏈入面，估計有 大約 20 萬個 MCP 實例 暴露喺風險之中 ^L。
• 一次對 560 個 MCP 伺服器嘅掃描發現，38% 完全冇身份驗證，43% 嘅 CVE 涉及 exec() 或者 shell 注入，13% 涉及路徑遍歷 ^D。
• 湧現咗新嘅漏洞類別，包括 「基於幻覺嘅漏洞」（Hallucination-based Vulnerabilities，HBV），即係含糊嘅工具描述會令 LLM 過度賦權俾自己，或者採取非預期嘅行動 ^G。
• 工具毒化（Tool Poisoning）、抽地毯攻擊（Rug Pull attacks）同跨伺服器影子攻擊（Cross-Server Shadowing） 都已經喺 MCP 生態系統入面被展示過，包括一個概念驗證顯示 Cursor IDE 可以透過 MCP 被完全攻陷 ^M。

對企業嚟講係乜嘢意思

部署 Claude Tag 同類似 AI 代理工具嘅企業，面對緊 三重威脅：AI 代理觸發層面嘅提示注入攻擊面（Tego AI 發現）、代理工具入面唔透明嘅賣方追蹤（Claude Code 追蹤器），以及連接代理同工具、數據嘅 MCP 生態系統入面根本唔安全嘅基建預設設定。

身份同存取控制失效 會急速擴散，尤其係當一個好似 Claude Tag 咁長存嘅代理有廣泛嘅工具存取權，而且可以被偽冒嘅提及觸發 ^MG。傳統 API 管治對於代理工作流程嚟講係唔足夠嘅，因為呢啲代理唔跟隨按用戶嘅權限模型或者請求-回應模式 ^M。供應鏈風險極其巨大：MCP 參考實作嘅一個漏洞會傳播到每一個下游部署 ^ML。透明度同可審計性 仍然係關鍵問題——Claude Code 嘅追蹤器係隱藏喺經過壓縮嘅 JavaScript 入面，要靠外部嘅反向工程先發現到，意味住企業安全團隊唔可以依賴賣方自行披露 ^RAA。

監管層面已經開始升級，中國嘅 NVDB 發出國家層級嘅警報，而阿里巴巴等企業更直接落閘禁用 ^RWI。整體情況係，2026 年企業 AI 代理安全需要一個全新嘅思維——要將呢啲長存代理視為關鍵基建，並實行嚴格嘅身份、存取同供應鏈控制。

重點總結

• 可仿冒嘅觸發器：Claude Tag 會對任何含有文字「@Claude」嘅訊息有反應，就算係嚟自自動化來源，令提示注入攻擊成為可能 ^G。
• 長開架構：Claude Tag 係一個長存、以頻道為範圍嘅 AI 同事，喺 microVM 入面嘅 Opus 4.8 上運行，以 API 費率收費 ^MSDD。
• 三重威脅：Tego 嘅漏洞同 Claude Code 隱藏追蹤器、以及系統性嘅 MCP 基建缺陷夾埋一齊，為企業帶嚟嚴峻嘅風險環境 ^MRL。
• 需要主動控制：按頻道劃分存取權限、審計代理行動、升級到 2026 年嘅 MCP 規範，並定期進行安全審查 ^LT。