資安研究團隊 AIR Security 揭露，AI 公司 Anthropic 旗下 AI 助理 Claude 的官方文件處理技能存在名為
Office Party 的漏洞。
攻擊者只要在 Linux 系統的共用暫存目錄放入一個惡意檔案，就能在使用者下次要求 Claude 產生文件時，以該使用者的權限執行惡意程式碼。研究人員指出，團隊已於 5 月通報 Anthropic，但 Anthropic 認為此問題不在其資安邊界內，目前尚未修補。
輔助腳本未驗證共用目錄中的程式庫
受影響的是 Anthropic 官方的 DOCX、PPTX 與 XLSX 技能（skills），這些技能讓 Claude 能建立、讀取、編輯及處理 Word 文件、PowerPoint 簡報與 Excel 試算表。研究人員表示，問題出在其中的輔助腳本 soffice.py，該腳本會啟動文件處理軟體 LibreOffice 進行轉換，包括將 Word 文件轉成 PDF。
當腳本偵測到環境無法開啟 Unix-domain socket 時，會改用變通做法，透過 Linux 的 LD_PRELOAD 機制載入共用程式庫。腳本會檢查共用暫存目錄中是否已有名為 lo_socket_shim.so 的檔案，但不會驗證其來源與內容。若攻擊者能在下一次文件處理前，於該位置放入惡意程式庫，惡意程式碼就可能在 LibreOffice 中被載入並執行，權限等同執行 AI 代理程式的使用者。
兩種攻擊情境與受影響環境
此漏洞影響 Unix socket 遭封鎖的 Linux 環境，包括部分容器安全設定與 Claude Code 沙箱。AIR 表示，macOS 不會透過 LD_PRELOAD 載入該程式庫，因此不受影響。
研究人員示範了兩種攻擊方式。第一種是手動將惡意程式庫放入暫存目錄，再要求 Claude Code 產生文件。第二種是利用另一個外觀正常的 AI 技能，將支援檔案解壓縮到同一目錄，之後文件處理技能執行時便會自動載入該檔案。AIR 指出，惡意或遭入侵的技能不一定要直接攻擊文件處理工具，只需放置一個其他受信任元件會執行的檔案。
AIR Research Lab 共同創辦人暨技術長 Niv Hoffman 受訪時表示，攻擊者只要把一個惡意檔案放進許多程式共用的暫存資料夾，員工下次請 Claude 產生文件時，Anthropic 的受信任技能就會載入並執行它。
Anthropic 認定不在資安邊界內
AIR Research Lab 的 Omri Saxena 與 Or Nevo 在報告中指出，團隊於 5 月發現此問題並通報 Anthropic，Anthropic 確認問題存在，但認為相關程式碼僅在沙箱內執行，不屬於其資安邊界。目前該腳本仍使用相同的固定路徑，並載入在該處找到的任何檔案。
Hoffman 認為這樣的回應不夠充分，因為即使技能在沙箱中執行，攻擊者的程式碼仍以使用者自身權限運作，而使用者的檔案與工作內容就在其中。外媒報導指出，Anthropic 尚未回覆置評請求，也未說明是否會採取進一步行動。
將 AI 技能視為軟體相依套件管理
AIR 建議，企業應把 AI 技能視為軟體相依套件（software dependencies），而非受信任的延伸功能，並以同樣標準加以防護。Hoffman 指出，企業往往不清楚員工的代理程式安裝了哪些技能與附加元件，也沒有可以撤銷或修補有漏洞元件的機制。
AIR 的具體建議如下：
- 持續維護各員工代理程式上所有 AI 技能與附加元件的即時清單
- 即使是官方技能，也比照一般程式碼進行審查
- 有新漏洞公布時，更新或修補整組技能
本文轉載自 DarkReading。