Хакеры превратили Claude в двойного агента. И захватили чужой компьютер

Представьте: у вас на компьютере стоит Claude Desktop — тот же ассистент, что и на сайте, только с доступом к вашим приложениям, файлам и браузеру. Удобно. А теперь представьте, что кто-то со стороны отправляет вашему Claude команду с чужого телефона — и через пару минут получает полный контроль над вашей машиной.

Это не гипотеза. Это реальная атака, которую в начале июля 2026 года описала команда Pentera Labs — и о ней эксклюзивно рассказал The Register.

Специалисты по red team начали не со взлома Claude напрямую — это было бы слишком просто заметить. Они зашли через email.

Схема простая до жути: получаешь доступ к почтовому ящику жертвы (через фишинг, слитый пароль или взломанную третью платформу для управления почтой) — и дальше используешь этот ящик, чтобы попасть в аккаунт Claude, привязанный к той же почте. Руководитель offensive security-команды Pentera Двир Авраам объяснил в интервью изданию, что ИИ-агенты сегодня массово подключены к почтовым ящикам через коннекторы и MCP, а значит, взлом инбокса — это, по сути, ключ и от ассистента тоже.

Дальше — самое интересное. Claude Desktop синхронизирует сессии между устройствами: начал задачу на телефоне — она продолжается на компьютере. Именно эту фичу удобства команда Pentera и превратила в оружие. Они спросили себя: можно ли использовать синхронизацию, чтобы заразить другие сессии и устройства жертвы? Ответ оказался утвердительным — и именно так атака дотянулась с чужого аккаунта до конкретной машины разработчика.

Итог — полный remote code execution. Не «ассистент помог составить фишинговое письмо», а буквально управление чужим компьютером через приложение, которому пользователь доверяет как рабочему инструменту.

Самое человеческое в этой истории — реакция самого исследователя. После атаки Авраам признался: «I became a little bit paranoid» — и с тех пор не пропускает ни одной команды без двойной проверки.

Это не преувеличение ради красного словца. Это же говорит специалист, который сам придумал эту атаку — и всё равно она напугала его настолько, что изменила рабочие привычки.

Важная деталь: на момент исследования (ноябрь 2025) у Claude Desktop ещё не было Cowork и встроенного Code — приходилось выкручиваться, чтобы вообще получить возможность выполнять команды на машине жертвы. Сегодня, когда агентные функции стали нативной частью продукта, та же атака требует меньше шагов. Логика Anthropic предельно прозрачна: «Anything you can do on your computer, Claude can do. Open apps, fill spreadsheets, navigate your browser. No setup, no passwords handed off» — и в этом же удобстве кроется поверхность атаки.

Проблема не уникальна для Claude — это системный риск любого агентного ИИ с доступом к вашим приложениям и синхронизацией между устройствами. Просто Claude Desktop — один из первых массовых продуктов, где это доказали на практике, а не в теории.

Если вы используете Claude Desktop, Cowork или любые агентные фичи с коннекторами к почте — три вещи, которые стоит сделать сегодня:

1. Включите двухфакторную аутентификацию на всех почтовых ящиках, привязанных к ИИ-аккаунтам. Именно скомпрометированный инбокс — точка входа в этой атаке.
2. Проверьте список подключённых сессий и устройств в настройках Claude — и отзовите те, которые не узнаёте.
3. Не давайте агенту carte blanche на выполнение команд без подтверждения — особенно если он получил задачу из источника, который вы не инициировали сами.

Агентный ИИ — это не просто чат с картинками. Это программа с доступом к вашей системе. И, как показала Pentera Labs, доверие к «чатливому ассистенту» — именно то, на чём и строится атака.

По материалам эксклюзивного расследования The Register (1 июля 2026, Pentera Labs).

Мы в Телеграм!