4月7日消息，Anthropic的AI代理产品Claude Cowork存在一个通过间接提示注入窃取用户本地文件的安全漏洞。该漏洞最早于2025年10月在Claude.ai聊天界面中被发现并报告，Anthropic在一小时内关闭了报告，将其归类为"超出范围"。三个月后Cowork带着同一漏洞上线。截至2026年4月，核心架构问题仍未根本解决，最新的Opus 4.6模型虽降低了攻击成功率但并非免疫。 漏洞发现与Anthropic的响应争议
安全研究员Johann Rehberger于2025年10月首次通过HackerOne向Anthropic披露了Files API数据外泄漏洞。Anthropic据称在一小时内关闭了该报告，将其定性为"超出范围"并归类为模型安全问题而非安全漏洞。
五天后的10月30日，Anthropic改变立场重新开启工单，确认"此类数据外泄漏洞属于可报告范围，该问题不应被关闭为超出范围"。但确认归确认，修复并未发生。
2026年1月13日Anthropic发布Cowork时，距离漏洞报告已近三个月，Files API仍处于易受攻击状态——尽管公司将该工具扩展到了更广泛的非技术用户群体。仅两天后的1月15日，PromptArmor团队即复现攻击并公开发布了完整的概念验证。
攻击链：利用API白名单实现静默文件窃取
攻击起点是用户将Cowork连接到包含敏感文件的本地文件夹。攻击者将含有隐藏提示注入的文件（如伪装成Claude Skill的.docx文档）混入其中。注入内容可用1pt字号、白底白字和0.1行距隐藏，肉眼几乎无法察觉。
当Cowork分析文件时，注入指令被触发，指示Claude使用curl命令调用Anthropic的文件上传API，将用户最大的可用文件上传到攻击者的Anthropic账户。注入提供了攻击者自己的API Key，因此文件直接进入攻击者账户。整个过程无需用户任何额外授权。
核心问题在于：Claude的代码执行环境运行在虚拟机中，限制了对几乎所有域名的出站网络请求——但Anthropic自己的API域名作为受信任域被放行，攻击正是利用了这一白名单。该技术允许每个文件最大外泄30MB，且对可上传文件数量没有限制。
影响范围：从Haiku到Opus 4.6
PromptArmor在Claude Haiku和旗舰模型Opus 4.5上均成功演示了数据外泄，后者在一个模拟用户上传恶意集成指南的场景中被攻破。PromptArmor强调，提示注入利用的是架构漏洞而非模型智能差距，推理能力的提升不构成防御。
2026年2月上线的Opus 4.6有所改善但并未根除问题。安全测试显示，Opus 4.6在部分编码场景中能100%阻挡攻击，但在GUI/桌面场景下单次尝试成功率约17.8%，经过200次尝试后突破率可达78.6%。研究者的结论是"比前代更善于捕获攻击，但可靠的绕过方法仍然存在"。
2026年3月，部分修复到位：Anthropic更新了Cowork VM，Check Point报告的Claude Code相关CVE（CVE-2025-59536、CVE-2026-21852）已在2.0.65+版本中修复。但核心架构问题——提示注入加API白名单——仍未解决。 "用户自己小心"不是安全策略
Anthropic将提示注入定性为"全行业问题"，表示正在寻找减少其产品中提示注入的方法，包括在Cowork中使用虚拟机来限制对敏感文件和目录的访问。
但Cowork的设计初衷是面向普通知识工作者而非开发者。要求非技术办公人员实时检测复杂的提示注入攻击，在安全社区引发了广泛批评。AI研究者Simon Willison直接指出，告诉普通非程序员用户"留意可能表明提示注入的可疑操作"是不公平的。
Cowork被设计为与用户整个工作环境交互，包括浏览器和MCP服务器（可授权发短信或用AppleScript控制Mac），这些功能增加了模型处理敏感和不受信任数据源的概率，形成持续扩大的攻击面。
攻击面在扩大而非缩小
Microsoft现已将Claude Cowork引擎集成到M365 Copilot Cowork中，攻击面变得更宽而非更窄。此外，研究者还在Anthropic的Claude Excel集成中发现了类似的提示注入路径——恶意Excel数据可诱导Claude生成外泄用户电子表格数据的公式。 Anthropic曾表示Cowork仅用一周半时间构建、完全由Claude Code编写。安全研究者质疑在如此快速的开发周期中安全是否获得了足够的重视。
当前建议
在Anthropic发布根本性修复之前，用户应避免将包含敏感文件的文件夹连接到Cowork，对上传到AI系统的文件（尤其是来源不明的.docx、PDF等）保持高度警惕，开启监控模式观察Claude的实时操作，并在企业环境中为AI工具的使用制定明确的访问控制策略。
该事件的核心教训不仅关于Anthropic一家：随着AI代理获得越来越多的自主能力和环境访问权限，提示注入从"模型安全问题"升级为真正的基础设施安全漏洞，而行业至今没有系统性的解决方案。
AI 速览
