Ein Sicherheitsforscher hat gerade ein bedenkliches Verhalten in Claude Desktop aufgedeckt: Die App richtet heimlich Zugriff auf Browser-Ebene ein, ohne Nutzer eindeutig darüber zu informieren. Das wirft die Frage auf, wie weit der tatsächliche Zugriff der App reicht.
Im Zentrum dieser Bedenken steht die Nutzung von Native Messaging durch Claude Desktop – einer API, die die Kommunikation zwischen Browsern und lokalen Desktop-Apps ermöglicht.
Der Sicherheitsforscher Alexander Hanff entdeckte das Verhalten während einer Debugging-Sitzung auf seinem Mac. Er stellte fest, dass die Installation von Claude Desktop eine Native-Messaging-Manifestdatei in den Verzeichnissen mehrerer Chromium-basierter Browser ablegt – darunter auch Browser, die noch nicht installiert sind. Die Datei genehmigt drei Chrome-Erweiterungs-IDs vorab für den automatischen Zugriff auf Claude Desktop, ohne die ausdrückliche Zustimmung des Nutzers.
Die Entdeckung des Forschers
An sich ist die Native-Messaging-API nicht bösartig. Auch den drei Erweiterungen selbst konnte bisher kein bösartiges Verhalten nachgewiesen werden. Bedenklich ist jedoch das Verhalten als solches.
Hanff, der in seinem Bericht angibt, auf seinem Mac nie Claude-Erweiterungen installiert zu haben, konnte die Manifestdateien mit der von ihm installierten Claude-Desktop-App in Verbindung bringen. Claude Desktop ist schlicht die Desktop-Version der Claude-Weboberfläche, was die App von Claude Code.
unterscheidet. Ihm zufolge wird die Manifestdatei automatisch erstellt und an mehrere Chromium-basierte Browser verteilt – darunter Browser, die sich nicht auf seinem Mac befanden. Und das alles ohne seine Zustimmung oder sein Wissen.
Die Funktion des Manifests ist simpel: Es registriert Claude Desktop als Native-Messaging-Host und macht die App damit zu einem anerkannten Endpunkt für die Browserkommunikation. Dadurch kann jede der drei freigegebenen Erweiterungen bei der Installation sofort eine Verbindung zu Claude Desktop herstellen, ohne dass zuvor eine ausdrückliche Berechtigungsabfrage für den Nutzer angezeigt wird.
Hanff bezeichnet dies als „Dark Pattern“. Außerdem sagt er, ein solches Vorgehen verstoße direkt gegen bestimmte Gesetze der Europäischen Union zum Computerzugriff und -missbrauch. Angesichts des beobachteten Ausmaßes ist das erheblich – insbesondere vor dem Hintergrund der vermuteten Haltung von Anthropic zu KI-Sicherheit und -Ethik.
Hanff ist jedoch nicht der Einzige, dem dieses merkwürdige Muster aufgefallen ist. Malwarebytes berichtet, dass Nutzer auf Mastodon, Reddit und LinkedIn das Verhalten bemerkt und darüber berichtet haben.
Noah M. Kenney, Sicherheitsforscher bei Digital 520, bestätigte in einer E-Mail an The Register Hanffs Entdeckung, distanzierte sich jedoch von der unverblümten Bezeichnung des Problems als „Spyware“ durch seinen Kollegen.
Das Verhalten wurde zwar auf Macs beobachtet, sein Status unter Windows und Linux ist jedoch weiterhin unbestätigt. Und solange eine separate oder erweiterte Analyse des Verhaltens keine Erkenntnisse zu diesen beiden Betriebssystemen liefert, sagt Malwarebytes, man tappe „hinsichtlich des Verhaltens unter Windows und Linux im Dunkeln“.
Anthropics Reaktion
Bisher hat das Unternehmen dazu keine öffentliche Stellungnahme abgegeben – was angesichts der zahlreichen plattformübergreifenden Bestätigungen äußerst ungewöhnlich ist.
Es gibt nun viele Möglichkeiten, das Ganze zu interpretieren. Doch solange Anthropic keine Stellungnahme abgibt, lässt sich nicht mit Sicherheit sagen, was tatsächlich vor sich geht. Laut Gadget Review sagt auch die Dokumentation von Claude Desktop nichts über dieses Verhalten aus.
Wir vermuten, dass Anthropic hier vorsichtig vorgeht und das Problem wahrscheinlich noch in dieser Woche ansprechen wird. Bis dahin bleibt die Geschichte offen.
Das Verhalten zu entfernen ist schwierig, aber nicht unmöglich
Laut Hanff lässt sich eine solche Brücke über mehrere Chromium-Browser hinweg entfernen, allerdings ist das ziemlich schwierig – insbesondere für Menschen ohne ausgeprägte technische Kenntnisse.
Zunächst muss man überhaupt bemerken, dass diese Manifestdateien auf dem Mac vorhanden sind. Um die Dateien zu finden und zu löschen, verwenden Sie diesen Befehl:
| $ find ~/Library/Application\ Support -name “com.anthropic.claude_browser_extension*” |
|---|
Der Befehl zeigt den Speicherort der Manifestdateien an, die Sie löschen können. Allerdings gibt es einen Haken: Beim nächsten Start von Claude Desktop wird einfach eine weitere Datei angelegt. Um die Erstellung neuer Manifestdateien zu verhindern, bleibt nur der Kompromiss, die App vollständig zu deinstallieren – zumindest so lange, bis Anthropic das Verhalten mithilfe der von Hanff in seinem Bericht vorgeschlagenen Methoden behebt.
Da Claude Desktop ein Web-Wrapper ist, können Sie weiterhin die meisten Funktionen über die Weboberfläche nutzen.