Noma Labs 发现 Claude Code Desktop 预览窗格可绕过沙箱窃取本地敏感凭证

Noma Labs 研究人员在 Claude Code Desktop 中发现一条利用预览窗格的漏洞链，攻击者可将恶意 HTML 伪装成代码覆盖率报告上传至公开仓库，诱使受害者克隆并请求审查，从而触发任意文件读取与数据外泄。该漏洞被 Anthropic 评定为 CVSS 8.7（高危），其影响等同于在主机上执行代码。

核心机制在于文件加载策略的缺陷：当 HTML 文件超过 256KB 时，预览窗格会通过 file:// URL 加载而非 data: URL，导致 Content Security Policy (CSP) 失效且 JavaScript 可无限制执行；同时，针对静态文件的请求过滤器未激活，允许脚本直接访问本地文件系统。攻击者借此可静默读取 SSH 私钥、云凭证、OAuth Token 及 WebRTC IP 地址等敏感信息，并通过 navigator.sendBeacon() 回传。尽管 Anthropic 最初修补了主上下文的 fetch 调用，但 Noma Labs 随后证明利用 blob: URL 创建的 Web Worker 可绕过该补丁继续读取文件。

事实层面，该漏洞涉及 Electron 架构中 Chromium 引擎的默认行为与 CSP 覆盖范围的不匹配，修复需同时处理 file:// 加载逻辑、CSP 策略及 Worker 上下文隔离。推断显示，任何依赖 Electron 构建且具备自动预览功能的 AI 开发工具均面临类似风险，特别是当工具自动渲染用户提供的非受信内容时。猜测部分认为，此类漏洞可能广泛存在于其他 IDE 插件或 AI 辅助编程环境中，因开发者往往低估了“自动渲染”带来的执行权限边界问题。