Ein einziger Kalender-Eintrag soll gereicht haben, um einen Rechner zu übernehmen — ohne dass das Opfer irgendetwas anklickt. Die Sicherheitsfirma LayerX hat eine Zero-Click-Schwachstelle in den Erweiterungen von Claude Desktop beschrieben, die mit dem Höchstwert CVSS 10.0 bewertet wurde. Betroffen sind laut den Forschern über 10.000 aktive Nutzer und rund 50 sogenannte DXT-Extensions.
GEFAHR: Die KI wird zum Komplizen
Der Kern des Problems: Claude Desktop Extensions laufen ohne Sandbox mit vollen Systemrechten. Die KI kann dabei harmlose Connectoren — etwa einen Kalender-Zugriff — eigenständig mit lokalen Ausführungs-Werkzeugen verketten. Ein Angreifer präpariert also einen Kalender-Termin. Bittet der Nutzer die KI dann beiläufig, „sich um die Termine zu kümmern“, interpretiert das Modell das als Freigabe und führt den versteckten Befehl aus. Aus einem Lese-Zugriff wird so Codeausführung auf dem ganzen Rechner.
SO lief der Angriff im Test
Auch das Red-Team von Pentera Labs demonstrierte einen Weg: Die Tester bauten einen Base64-kodierten Prompt, der Claude anweist, nach ausführbaren Werkzeugen auf dem Gerät zu suchen und den Befehl auszuführen. Diesen Text hinterlegten sie in den persönlichen Einstellungen des Opfers. Weil diese Einstellungen über alle Geräte synchronisieren, luden sich die vergifteten Anweisungen beim nächsten Chat automatisch — und liefen still im Hintergrund.
WICHTIG: Anthropics Einordnung
Anthropic hat sich laut den Berichten entschieden, die Lücke vorerst nicht zu schließen. Die Begründung: Das Szenario liege außerhalb des aktuellen Bedrohungsmodells. Diese Einschätzung ist umstritten — Sicherheitsforscher sehen darin eine reale Angriffsfläche, gerade weil Desktop-Erweiterungen mit vollen Rechten laufen und KI-Agenten zunehmend eigenständig Werkzeuge verketten.
So schützt du dich JETZT
Bis es eine offizielle Lösung gibt, hilft nur eigene Vorsicht. Installiere nur Extensions, denen du wirklich vertraust, und entferne alles, was du nicht aktiv brauchst. Schränke Connectoren wie Kalender, Mail oder Dateizugriff so weit wie möglich ein. Sei besonders misstrauisch, wenn Inhalte aus fremden Quellen (Termine, Nachrichten, geteilte Dokumente) automatisch von der KI verarbeitet werden. Und gib deiner KI keine pauschalen Freibriefe wie „mach das einfach“ für Aufgaben, die auf lokale Werkzeuge zugreifen.
Fazit: Der Fall zeigt eine neue Klasse von Risiken — nicht die KI selbst ist das Leck, sondern die ungeprüfte Verkettung von Berechtigungen. Wer Desktop-Erweiterungen nutzt, sollte seine Connectoren jetzt auf das Nötigste eindampfen.