Co się wydarzyło
CLI tworzy pozycję w pęku kluczy, wywołując systemowe narzędzie „security” bez argumentów kontroli dostępu. Pozycja dziedziczy więc domyślną listę ACL, która ufa temu właśnie narzędziu — podpisanemu przez Apple, ogólnego przeznaczenia. Ponieważ każdy proces na koncie użytkownika może je uruchomić, ACL nie ogranicza niczego: jedno polecenie zwraca pełny komplet poświadczeń w formacie JSON. Dla porównania Claude Desktop używa mechanizmu safeStorage: w pęku kluczy trzyma tylko klucz szyfrujący związany z podpisaną aplikacją, a przy próbie odczytu przez inny proces macOS prosi o hasło.
Silverfort klasyfikuje to jako wadę projektową implementacji (CWE-732, CWE-522), nie klasyczną podatność. Testowano wersję 2.1.185. Na Linuksie i Windowsie dane leżą w pliku JSON (na Linuksie z uprawnieniami 0600).
Najważniejsze ustalenia
- Skradziony token odświeżania (prefiks sk-ant-ort) daje trwały dostęp do konta Anthropic oraz do podłączonych serwerów MCP, na przykład GitHub czy Atlassian, wraz z danymi i akcjami, którymi te serwery sterują.
- Pakiet poświadczeń można odtworzyć na innej maszynie i działać jako ofiara; token pozostaje ważny do chwili wyłączenia konta przez organizację — sam reset hosta nie wystarcza.
- Typowe wektory to infostealery, złośliwe skrypty poinstalacyjne i wrogie rozszerzenia IDE, uruchamiane z prawami zwykłego użytkownika.
- Zgłoszenie przez HackerOne 25 czerwca 2026 Anthropic zamknął po 19 minutach jako „Informative”, wskazując, że procesy tego samego użytkownika są w pełni zaufane; po prośbie o ponowną ocenę podtrzymał klasyfikację i zapowiedział zaostrzenie ACL jako zmianę typu defense-in-depth, nie poprawkę podatności.