Un equipo de seguridad ha descubierto vulnerabilidades críticas en Claude Code, la IA de Anthropic para desarrollo asistido, que permiten ejecutar código de forma remota.

• Un equipo de seguridad ha descubierto vulnerabilidades críticas en Claude Code, la IA de Anthropic especializada en código, permitiendo al atacante ejecutar código de forma remota.

Claude es uno de los modelos de inteligencia artificial más populares del momento, sobre todo por sus capacidades de programación con Claude Code, que también tiene su especialización en ciberseguridad con la versión Security.

Este último es el modelo actualizado con la capacidad de realizar análisis de vulnerabilidades en el código, para que los desarrolladores puedan también verificar que los atacantes no las aprovecharán.

Desafortunadamente, una investigación reciente de Check Point Research ha logrado descubrir vulnerabilidades críticas en Claude Code, permitiendo a los atacantes ejecutar código de forma remota y robar credenciales de la API mediante configuraciones maliciosas.

Hay que recordar que Claude Code es una herramienta de Anthropic que permite a los programadores interactuar con el código a través de la inteligencia artificial y directamente en la terminal.

Con esta vulnerabilidad, cualquier programador podría haber accedido simplemente con configuraciones heredadas del archivo .claude/setting.json, que está disponible en el repositorio: aunque es buena idea para colaborar en equipo, aquí cualquiera puede modificarlo.

Al heredar cualquier máquina este archivo, también se hereda la configuración y, en caso de que fuera modificado maliciosamente, el atacante podría acceder y robar las claves secretas del programador –los tokens de API–.

Cómo funcionaba el ataque

En las pruebas realizadas por Check Point Research, en colaboración con Anthropic –que corrigieron dichas vulnerabilidades–, mediante la manipulación del archivo de configuración del proyecto, el mencionado arriba, lograron ejecutar comandos ocultos.

Al cambiar la configuración para que este archivo se ejecutara simplemente cuando el usuario escribía en la terminal el término “claude”, el mensaje de “¿Confías en este proyecto?” aparecía después, por lo que la carga maliciosa se activaba antes del permiso.

Además de esto, Claude utiliza el conocido como MCP o Protocolo de Contexto del Modelo, que le permite conectarse a fuentes externas, como buscadores o bases de datos, un elemento en el que también se descubrió una vulnerabilidad.

En tal caso, mediante el archivo de configuración .mcp.json y la modificación de los permisos del usuario: en estas herramientas externas, Claude siempre pide permiso al usuario, algo que aquí se omite, dejando el control indirecto al atacante para ejecutar acciones en el sistema sin avisar.

Aunque quizá la parte más grave de toda esta investigación ha residido en el robo de la llave maestra de Claude Code, la API key; es decir, una contraseña muy larga para comunicarse con los servidores de Anthropic.

Según descubrieron, cualquiera podía cambiar la dirección que Claude utilizaba para enviar los datos y redirigir estos a otra falsa controlada por el atacante: el modelo enviaba automáticamente la API key del usuario y el actor malicioso podía controlar la IA a su antojo.

A pesar de que es una vulnerabilidad que ya se solucionó, deja claro que hay que tener mucho cuidado también al usar herramientas oficiales en GitHub, ya que tampoco se salvan de llegar con fallos aprovechables por los delincuentes.