A startup de segurança cibernética Tego AI revelou uma vulnerabilidade crítica na integração nativa do Slack com o modelo de IA Claude, conhecida como Claude Tag. A pesquisa demonstra que a integração pode ser acionada por conteúdo não intencional no Slack, permitindo que ações empresariais não autorizadas sejam executadas através de agentes de IA.
Descoberta e escopo
Os pesquisadores observaram que o Claude Tag respondia a mensagens contendo o texto literal "@Claude" sem exigir uma menção estrutural genuína do Slack. Isso significa que conteúdo entregue por bots, webhooks, feeds automatizados ou outras fontes externas poderia ser interpretado como instruções para o agente de IA. O escopo do problema afeta organizações que utilizam essa integração para automatizar fluxos de trabalho empresariais.
Vetor e exploração
A exploração demonstrada envolveu mensagens geradas por bots que instruíam o Claude Tag a recuperar informações internas, publicá-las no Slack e, em seguida, excluir o recurso original usando a conexão configurada pela organização. Isso evidencia um risco de exfiltração de dados e manipulação de recursos internos sem a autorização explícita de um usuário humano. A falta de validação de origem permite que conteúdo malicioso atue como um vetor de ataque indireto.
Impacto e alcance
O impacto potencial é significativo para empresas que dependem de automação baseada em IA para operações sensíveis. A capacidade de um agente de IA executar ações como excluir dados ou publicar informações confidenciais sem autenticação robusta representa um risco de segurança operacional. Além disso, a pesquisa identificou preocupações mais amplas sobre conteúdo automatizado não confiável se tornando um canal de instrução indireto.
Análise técnica detalhada
A vulnerabilidade reside na forma como o sistema de integração processa gatilhos de texto. Ao confiar no texto literal em vez de metadados de menção estruturados, o sistema abre uma brecha para injeção de comandos. Isso é particularmente preocupante em ambientes onde bots e integrações de terceiros têm permissão para postar em canais compartilhados. A falta de visibilidade nas interfaces de auditoria existentes dificulta a detecção dessas atividades maliciosas.
Medidas de mitigação recomendadas
A Tego AI recomenda aplicar permissões de menor privilégio às conexões do Claude Tag, preferindo acesso apenas de leitura. As organizações devem evitar canais que ingiram conteúdo externo não confiável e restringir o acesso administrativo. É crucial reter logs relevantes do Slack e introduzir autorização de tempo de execução independente para ações sensíveis, garantindo que operações críticas não sejam executadas apenas com base na interpretação do modelo.
Reação do fornecedor
A Tego AI divulgou os achados de forma responsável à Anthropic. A empresa classificou a submissão como informativa e contestou que o texto literal "@Claude" ou mensagens geradas por bots iniciam sessões do Claude Tag sob a configuração padrão do produto. No entanto, a pesquisa da Tego AI documenta o comportamento observado e as implicações de segurança, sugerindo que a configuração padrão pode não ser segura para todos os casos de uso empresarial.
O que os CISOs devem fazer imediatamente
Executivos de segurança devem revisar as permissões de todas as integrações de IA em seus ambientes. A implementação de controles determinísticos que validem a origem e o propósito de ações sensíveis é essencial. A segurança de agentes de IA empresariais deve ser tratada com o mesmo rigor que a segurança de aplicações tradicionais, incluindo monitoramento de logs e auditoria de atividades.