Vulnerabilidad en Claude Code Desktop permite a HTML malicioso robar credenciales de desarrollador

**Vulnerabilidad Crítica en Claude Code Desktop: Un Aviso sobre los Riesgos de la Inteligencia Artificial en el Desarrollo**

En el mundo de la ciberseguridad, la aparición de vulnerabilidades en herramientas de desarrollo puede tener consecuencias devastadoras, tanto para los individuos como para las organizaciones. Recientemente, Noma Labs, una firma de investigación en seguridad, ha descubierto una vulnerabilidad de alta severidad en la aplicación Claude Code Desktop de Anthropic. Esta brecha de seguridad, denominada SneakPeek, permite que archivos HTML maliciosos roben credenciales locales y claves privadas de las máquinas de los desarrolladores, lo que pone de manifiesto la necesidad urgente de abordar los riesgos asociados a las herramientas de inteligencia artificial (IA) en el ámbito del desarrollo de software.

La vulnerabilidad, identificada por Eli Ainhorn, investigador senior de Noma Labs, presenta un puntaje CVSS de 8.7, lo que indica su grave naturaleza. El problema radica en el panel de vista previa de Claude Code Desktop, que utiliza el motor de renderizado basado en Chromium de Electron para mostrar archivos HTML cuando se leen o modifican. Este contexto es crucial, ya que muchos desarrolladores utilizan herramientas como Claude Code para realizar revisiones de código y modificaciones, lo que hace que la exposición a este tipo de amenazas sea particularmente preocupante.

Ainhorn descubrió tres debilidades de seguridad que, al combinarse, lograron eludir las protecciones del panel de vista previa. En primer lugar, los archivos menores de 256 KB se cargaban como URLs de datos con una política de seguridad de contenido (CSP) que bloqueaba la ejecución de JavaScript. En contraste, los archivos más grandes se cargaban a través de URLs file://, donde la CSP no se aplicaba. Además, el filtro de solicitudes no lograba bloquear el acceso a archivos locales cuando Claude renderizaba un archivo HTML estático directamente desde el disco. Este conjunto de fallos permitió que un atacante explotara el sistema de manera efectiva.

Noma Labs demostró la explotación de esta vulnerabilidad utilizando un repositorio público que contenía un informe de cobertura de código con JavaScript malicioso oculto. Un desarrollador que clonara el repositorio y solicitara a Claude que revisara o editara el informe podría activar la carga maliciosa cuando el panel de vista previa abriera el archivo. Una vez que el archivo se mostraba, el script se ejecutaba sin necesidad de un aviso de permiso adicional, lo que representa un grave riesgo de seguridad.

El script malicioso podía acceder a archivos locales sensibles utilizando la función fetch(), incluyendo claves privadas de SSH, credenciales de AWS, tokens de GitHub y npm, credenciales de registro de Docker, información de identidad de Git y tokens de OAuth de Claude. La información robada se enviaba a un servidor controlado por el atacante a través de la API navigator.sendBeacon(), lo que complicaba aún más la detección del ataque.

Este hallazgo subraya cómo una tarea rutinaria de revisión de código puede exponer credenciales de desarrollo sensibles sin ningún tipo de aviso de permiso adicional, lo que plantea serias dudas sobre la seguridad de las herramientas basadas en IA que los desarrolladores utilizan cotidianamente.

Noma Labs notificó la vulnerabilidad a Anthropic el 4 de julio de 2026, y la empresa llevó a cabo la evaluación inicial el 9 de julio, asignándole un puntaje CVSS v4.0 de 8.7. Posteriormente, el 24 de julio, Anthropic lanzó un parche inicial que bloqueaba las solicitudes directas fetch() y XMLHttpRequest a rutas file://. Sin embargo, el mismo día, los investigadores de Noma Labs demostraron un bypass al mover las solicitudes de lectura de archivos a Web Workers creados a partir de URLs blob:. Estos trabajadores aún podían leer archivos sensibles y pasar su contenido al hilo principal para su exfiltración.

Anthropic confirmó la existencia de una solución incompleta el 3 de agosto. Según Noma Labs, la empresa abordó los problemas restantes en la versión 1.30096.1 de Claude Desktop y posteriores, con la actualización enviada a través de actualizaciones automáticas el 17 de agosto. En el momento del informe de los investigadores, la asignación de un CVE y la publicación de un aviso en GitHub aún estaban pendientes.

Expertos en ciberseguridad han compartido sus comentarios sobre la vulnerabilidad SneakPeek, señalando que resalta los riesgos que presentan las herramientas de IA al procesar archivos no confiables, especialmente cuando estas operan en máquinas de desarrolladores que contienen credenciales sensibles. Crystal Morin, estratega senior de ciberseguridad en Sysdig, comentó que “SneakPeek es un recordatorio poco amistoso de que las herramientas de IA vienen con su propia superficie de ataque”. Añadió que “la mayoría de la seguridad de IA se centra en el modelo: entrenamiento, filtros de seguridad y avisos del sistema. SneakPeek no fue un fallo del modelo, sino que residió en la aplicación que lo rodea”.

Ram Varadarajan, CEO de Acalvio, también advirtió sobre la naturaleza interconectada de las vulnerabilidades, indicando que “tres brechas aparentemente menores se encadenaron para robar credenciales de AWS y claves SSH sin necesidad de un clic. Y el bypass del primer parche de Noma subraya un punto mayor: ninguna única capa de prevención durará para siempre”.

Como medida de protección, Varadarajan recomendó el uso de credenciales engañosas para detectar posibles compromisos, sugiriendo que “se planten credenciales de engaño conscientes del modelo en las máquinas de los desarrolladores y a lo largo de los caminos que los agentes de IA pueden alcanzar. Si un agente, ya sea bien comportado o comprometido, toca una de estas credenciales, se generará una alerta de alta confianza, incluso si aún no se conoce la vulnerabilidad que se está explotando”.

En conclusión, la vulnerabilidad SneakPeek en Claude Code Desktop no solo pone de relieve la fragilidad de las aplicaciones modernas, sino que también invita a una reflexión más profunda sobre la seguridad en el desarrollo de software en la era de la inteligencia artificial. Las organizaciones deben mantenerse alerta y adoptar medidas proactivas para proteger sus entornos de desarrollo, asegurando que las herramientas que utilizan no se conviertan en un vector de ataque.

Noma Labs found a high-severity Claude Code Desktop flaw that let malicious HTML files steal local credentials and private keys through the preview pane. Noma Labs researchers discovered a high-severity vulnerability inAnthropic’s Claude Code Desktopapplication that allowed malicious HTML files to steal credentials and private keys from a developer’s machine. The flaw, named SneakPeek, received a CVSS score of 8.7. The vulnerability, discovered by Norma Labs’ senior vulnerability researcher Eli Ainhorn, affected Claude Code Desktop’s preview pane, which uses Electron’s Chromium-based rendering engine to display HTML files when Claude reads or modifies them. The researcher found three security weaknesses that worked together to bypass the preview’s protections. Files smaller than 256KB were loaded as data: URLs with a Content Security Policy (CSP) blocking JavaScript execution. Larger files were instead loaded through file:// URLs, where the CSP was not applied. The request filter also failed to block local file access when Claude rendered a static HTML file directly from disk. Noma Labsdemonstratedthe attack using a public repository containing a code coverage report with malicious JavaScript hidden inside it. A developer who cloned the repository and asked Claude to review or edit the report could trigger the payload when the preview pane opened the file. The script then ran without a separate permission prompt. It could read sensitive local files using fetch(), including SSH private keys,AWS credentials, GitHub and npm tokens, Docker registry credentials, Git identity information, Kubernetes credentials, and Claude OAuth tokens. The script sent the stolen data to an attacker-controlled server using the navigator.sendBeacon() API. The finding highlights how a routine code-review task could expose sensitive development credentials without a separate permission prompt. Noma Labs reported the vulnerability to Anthropic on July 4, 2026. Anthropic triaged it on July 9 and assigned a CVSS v4.0 score of 8.7. On July 24, Anthropic deployed an initial patch blocking directfetch()andXMLHttpRequestrequests tofile:// paths. However, Noma Labs researchers demonstrated a bypass the same day by moving file-reading requests into Web Workers created from blob: URLs. The workers could still read sensitive files and pass their contents to the main thread for exfiltration. Anthropic confirmed the incomplete fix on August 3. According to Noma Labs, the company addressed the remaining issues in Claude Desktop version 1.30096.1 and later, with the update delivered through automatic updates on August 17. At the time of the researchers’ report, a CVE assignment and GitHub Advisory publication were still pending. Cybersecurity experts who shared their comments with Hackread.com said SneakPeek highlights the risks posed by AI tools that process untrusted files, particularly when those tools operate on developer machines containing sensitive credentials. Crystal Morin, Senior Cybersecurity Strategist at Sysdig, said, “SneakPeek is an unfriendly reminder that AI tools come with their own attack surface.” She added, “Most AI security centers on the model: training, safety filters, and system prompts. SneakPeek wasn’t a model failure, it lived in the application around it.” Morin also highlighted the visibility challenge for defenders, explaining that “The malicious script executed in the preview pane’s rendering process, not as an action the agent took, so agent-level logs would not be expected to show it.” Ram Varadarajan, CEO at Acalvio, said, “Three seemingly minor gaps chained together to steal AWS credentials and SSH keys without a click. And Noma’s first-patch bypass makes the bigger point: no single layer of prevention is going to hold forever.” He recommended using decoy credentials to detect potential compromise, saying, “Plant model-aware decoy credentials on developer machines and along pathsAI agentscan reach. If an agent, whether well-behaved or compromised, touches one, you get a high-confidence alert, even if you don’t yet know the vulnerability being exploited.”

Vulnerabilidad en Claude Code Desktop permite a HTML malicioso robar credenciales de desarrollador

Claude Code Desktop Flaw Let Malicious HTML Steal Developer Credentials