Anthropic 的官方文档技能漏洞不该推给企业

Anthropic 自己出品的文档技能带着一个能执行外来代码的漏洞，据报告方转述，Anthropic 的答复是这不归它管。技能是给 Claude 装上的一组说明和脚本，让它会做某类活；出问题的是生成 Word、PPT 和 Excel 的三个官方技能。

安全公司 AIR Security 11 月 5 日公开了这个被它称作 Office Party 的漏洞，称 5 月已报告给 Anthropic，对方确认了问题，但认为代码只在沙箱里运行，不在它的安全边界之内。

沈规的判断是：这条理由站不住，修补责任在 Anthropic，不在部署它的企业。

5 月获报：Anthropic 认了漏洞，没认责任

据 AIR 研究员 Omri Saxena 与 Or Nevo 的报告，问题出在三个技能共用的辅助脚本 soffice.py。它负责调用 LibreOffice 转换文档，docx 技能要求 Claude 把写好的每份文档都转成 PDF 检查版式。

AIR 称，用户在 claude.ai 上要 Word、PPT 或表格时，这些技能无需设置就会启用。

脚本打不开 Unix 套接字时，会往 LibreOffice 里预加载一个小的兼容库。这个库永远放在系统临时目录的同一个文件名下。文件已经存在就直接用，不查是谁放的、里面是什么。

Anthropic 的回应目前只有 AIR 的转述。Dark Reading 11 月 9 日报道时，Anthropic 没有回复它的置评请求，也没有说会不会再处理。

7 月 17 日：同一份脚本改了，固定路径留下

获报之后约两个月，Anthropic 在官方仓库 anthropics/skills 里改过这份脚本。7 月 17 日的这次提交同时修改了三个技能里的 soffice.py。

提交说明写着，解压时拒绝符号链接和路径穿越条目，并为每次转换单独准备一个 LibreOffice 用户配置目录。新加的配置目录每次随机生成，兼容库却还是那个固定文件名。

编辑 11 月 10 日打开 main 分支上的现行脚本核对：判断逻辑仍是文件存在就直接返回。GitHub 记录显示，7 月 17 日之后这份文件没有再改过。

同一次提交里既做了路径安全加固，也写出了随机临时目录，这处固定路径是没有修，不是不会修。这是分析推断，依据是该提交的说明与代码改动。

一个写文案的技能就能替攻击者放文件

AIR 11 月 5 日公开的报告写了两种复现方式：

• 在 Claude Code 沙箱的临时目录里手动放一个库，再让 Claude 生成文档，库被加载执行；
• 装一个看起来正常、写营销文案的技能，它顺手往临时目录解压几个辅助文件，其中一个就是那个库，之后官方文档技能一运行，攻击代码就跑了起来。

受影响的只有 Linux，而且要有东西拦住 Unix 套接字，比如容器的安全配置、加固过的系统服务，或者 Claude Code 自己的沙箱。macOS 不读这个预加载变量，不受影响。

The Injection 的条目把它记为中等严重度，没有 CVE 编号。

「只在沙箱里运行」挡不住这三件事

有人会说，攻击者得先能以用户身份往临时目录写文件，做得到这一步的人本来就能做很多事，Anthropic 划的边界有道理。

我们不接受，理由有三：

• Claude Code 自己的沙箱会拦住 Unix 套接字，正是它让预加载这条路被打开；
• 第二种复现里放文件的是一个普通技能，写临时目录是它的正常动作，不需要越权；
• 沙箱里就是用户的文件和工作，AIR 联合创始人 Niv Hoffman 对 Dark Reading 说，攻击代码会带着用户自己的权限运行。

AIR 自己卖 AI 技能安全服务，Hoffman 对 Dark Reading 称数以亿计的 Claude 智能体都在用这些默认技能，这属于企业宣称，本文不拿它当依据。

剩下的事实已经够用：路径固定，不做校验，获报后改过脚本仍没修。

这条固定路径是 Anthropic 写的，7 月又是 Anthropic 亲手改的，这个漏洞就该由 Anthropic 修。把它划出安全边界，等于让每家装了官方技能的企业自己去清点、隔离、打补丁；而那个把门打开的沙箱，同样出自 Anthropic。