Säkerhetsföretaget Darktraces forskargrupp Signal Labs publicerade metoden på sin blogg den 12 november. Help Net Security rapporterade om den samma dag och intervjuade Darktraces AI-chef Tim Bazalgette.

Metoden fungerar först när angriparen har tagit sig in i enheten och kommit åt användarens inloggningsuppgifter till Claude Console. Enligt Darktrace utnyttjar tekniken ingen sårbarhet i Claude-plattformen, och företaget har inte sett den användas i verkliga attacker.

Minnesfiler som kommandokanal

Minneslager (memory stores) är samlingar av textfiler som är kopplade till en arbetsyta i Claude Console. Med dem kan agenterna i tjänsten Claude Managed Agents minnas saker mellan sessioner. Ett lager kan läggas till i arbetsytan via API:et även om organisationen inte använder tjänsten, uppger Darktrace.

Forskarna skapade ett lager med tre filer. Claude Codes harness är programmet som styr agenten. Den ger modellen verktyg och kör dess arbetssteg. När harnessen startade skrev den ett livstecken i den första filen. Därefter hämtade modellen en uppgift från den andra filen, utförde den och skrev resultaten i den tredje. Angriparen läste resultaten och skrev nästa uppgift.

Trafiken gick till api.anthropic.com, som agenten ändå använder för att anropa modellen. Därför såg trafiken ut som agentens vanliga arbete. Uppgifterna gavs på naturligt språk. Enligt Darktrace kan angriparen ange enbart ett mål och låta agenten välja kommandona själv. I försöket innehöll dock en del av uppgifterna ett färdigt kommando eller skript.

Nio uppgifter i testnätverket

Testmiljön efterliknade ett företags Active Directory-nätverk. Ett litet skript letade upp Claude Code på en Linuxdator, samlade in inloggningsuppgifterna och skapade en systemd-tjänst som startade harnessprocesser en i taget. Processerna använde modellen Claude Sonnet 4.5 i icke-interaktivt läge, uppger Darktrace. Enligt Help Net Security kördes de med flaggan --dangerously-skip-permissions, som tar bort bekräftelsefrågorna för verktygsanrop.

Agenten fick nio uppgifter. Den kartlade nätverket och hämtade anställdas namn och ett lösenord från en FTP-server som tillät anonym inloggning. Sedan genererade den 190 kandidater till användarnamn och försökte logga in på domänkontrollanten med dem och lösenordet. Med det konto den hittade listade den SMB-utdelningarna, laddade ner en fil på 1 GB, delade den i tre delar och skickade delarna till Claudes Files API, varifrån angriparen fick dem.

Darktrace testade bara en plattform, säger Bazalgette. Minneslager är en Claude-funktion, men OpenAI har ett motsvarande API för filuppladdning. Darktrace informerade Anthropic om fynden före publiceringen, av artighet och inte genom en formell anmälan, eftersom det enligt Bazalgette inte finns någon sårbarhet.

Upptäckt och skydd av nycklar

Darktrace rekommenderar att man granskar de processer som harnessen startar och dess nätverkstrafik tillsammans och jämför dem med normal aktivitet. Tecken är till exempel ovanliga kommandoradsparametrar eller att förhållandet mellan mängden data som skickas till och tas emot från API:et avviker från det normala.

En vanlig API-nyckel ger åtkomst till minneslagren, men det gör inte OAuth-inloggningsuppgifter, säger Bazalgette. Han rekommenderar OAuth eller identitetsfederering när det är möjligt, även om också en OAuth-session kan kapas, om än med större svårighet. I annat fall ska nycklarna vara kortlivade och snävt avgränsade, och de får inte lämnas i kommandohistorik, konfigurationsfiler eller miljövariabler. ”Behandla en nyckel till en AI-plattform lika allvarligt som inloggningsuppgifter till produktionsmiljön, eftersom den nu har jämförbar förmåga”, sa han till Help Net Security.