Claude Code Desktop 预览窗格漏洞复盘：一个 256KB 阈值如何放行任意文件读取

近日，安全公司 Noma Labs 公开了他们在 Claude Code Desktop 里发现的一条漏洞链，取名 SneakPeek，Anthropic 定级 CVSS 8.7 高危——这条链可实现任意文件读取与凭证外泄。按披露时间线，8 月初完整修复仍在推进中；使用该应用的读者应以应用内更新为准升级到最新版。但这条链的成因——用一个文件大小阈值决定安全策略——值得每个做 Electron 应用和 AI 编码工具的人复盘。

攻击场景不需要社工话术：攻击者把一个看起来完全正常的公开仓库放到网上，里面塞一份超过 256KB 的 HTML 覆盖率报告（测试工具生成的这类报告本来就大，500KB 不显眼），报告里嵌一段 JavaScript。受害者克隆仓库，对 Claude 说一句"帮我看看覆盖率报告"——这是再普通不过的请求。Claude 读取文件，预览窗格自动渲染，脚本执行，无任何权限弹窗。

三层防御是怎么被绕过的

Claude Code Desktop 的预览窗格基于 Electron 的 Chromium 渲染引擎，官方给它配了三层防御：CSP（内容安全策略）阻止脚本执行、origin 隔离限制访问范围、请求过滤器拦截外发请求。Noma Labs 发现这三层在同一个地方集体失效。

问题出在文件加载的分岔逻辑。256KB 以下的 HTML 文件会被转成 base64 的 data: URL 加载，这条路径带严格的 CSP（script-src ’none’）和不透明 origin，嵌入脚本跑不起来。但超过 256KB 的文件走另一条路：先写到磁盘临时文件，再以 file:// URL 直接加载。这条路没有 CSP——策略只覆盖了 data: 路径，file:// 路径被漏掉了。而在 Chromium 里，file:// origin 的页面可以用 fetch() 读本地其他文件。第三层，请求过滤器本来要拦 file:// 读取，但它只在预览窗格代理本地 dev server（比如 React/Node 应用）时激活，渲染静态 HTML 文件时根本不在岗。

三个缺口串起来：把文件撑过 256KB 拿到 file:// origin，利用缺失的 CSP 跑脚本，利用不设防的过滤器读任意本地路径。脚本从临时文件路径反解出用户主目录，然后开始拖文件——API 密钥、SSH 私钥、云凭证，连 Claude 自己的 OAuth token 都在清单里，通过 navigator.sendBeacon()（一个静默单向 HTTP POST 的浏览器 API）回传，还能用 WebRTC 拿到受害者真实 IP。

补丁被绕过了一次：Worker 上下文的盲区

披露过程本身也是一堂防御课。Noma Labs 7 月 4 日报送 PoC，7 月 9 日 Anthropic 定级 8.7，7 月 24 日发布补丁：拦截主页面上下文对 file:// 的 fetch() 和 XMLHttpRequest 调用。同一天，Noma Labs 绕过了它——把 fetch() 挪进一个从 blob: URL 创建的 Web Worker 里执行。Worker 是独立于主页面的执行上下文，补丁的过滤器没覆盖到那里，三个原始缺陷经此路径全部复活。8 月 3 日 Anthropic 确认首次修复不完整，披露时间线到此为止，完整修复当时仍在推进。

这次绕过暴露的通用问题是：按调用上下文打补丁，就要枚举完所有上下文。浏览器执行环境里能发起请求的上下文不止主页面一个——Worker、Service Worker、iframe，任何一个没被过滤器覆盖的上下文都是旁路。

对开发者的三个实际判断

第一，查版本。漏洞在 Desktop 应用的预览渲染器里，披露时间线止于"完整修复推进中"——如果还在用夏天的旧版本，在应用的更新入口检查并升级到最新版。

第二，理解这类风险的归属。恶意脚本跑在预览窗格的渲染进程里，不是 AI 代理执行的动作——这意味着针对模型设计的权限控制（工具审批、沙箱）对它无效。假设"模型受控所以整个工作流受控"在这个案例里被证伪：渲染不可信内容这一步本身就是执行边界，需要自己的安全策略。

第三，架构层面的教训。从这条链看，靠大小阈值或客户端过滤器当安全边界是脆弱的。大小是性能优化维度，不是安全维度——用性能参数路由安全策略，等于把防御建立在攻击者可以自由控制的变量上。正确的做法是所有渲染路径统一过同一套 CSP/origin/过滤策略，无论文件大小走哪条加载分支。

（事实与时间线依据 Noma Labs 披露原文及 CSO Online、dev.to 报道，均于 2026-10-16 核验；披露原文未提及在野利用情况。）

本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。