Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa ujawnili podatność nazwaną „Office Party”, która dotyczy oficjalnych mechanizmów przetwarzania dokumentów wykorzystywanych przez Claude. Problem występuje w środowiskach Linux i może prowadzić do uruchomienia złośliwego kodu z uprawnieniami użytkownika uruchamiającego agenta AI. Źródłem ryzyka jest niezweryfikowane ładowanie biblioteki współdzielonej z katalogu tymczasowego podczas konwersji plików biurowych.
W skrócie
Podatność obejmuje komponenty odpowiedzialne za obsługę formatów DOCX, PPTX i XLSX. W określonych warunkach mechanizm pomocniczy uruchamiający LibreOffice korzysta z techniki LD_PRELOAD, aby obejść ograniczenia środowiska. Jeżeli atakujący wcześniej umieści odpowiednio nazwaną bibliotekę w przewidywalnej lokalizacji, może doprowadzić do wykonania własnego kodu.
- Problem dotyczy przede wszystkim systemów Linux.
- Najbardziej narażone są sandboxy i kontenery z ograniczeniami dla gniazd Unix-domain.
- Atak może zostać wyzwolony podczas tworzenia lub przetwarzania dokumentów.
- Skutkiem może być wykonanie kodu w kontekście aktualnego użytkownika.
Kontekst / historia
Podatność została opisana przez zespół AIR Security, który przeanalizował sposób działania oficjalnych umiejętności odpowiedzialnych za generowanie i przetwarzanie dokumentów biurowych. Według badaczy problem odkryto i zgłoszono w maju 2026 roku. W publicznym opisie wskazano, że luka w momencie publikacji nie została uznana za naruszenie granicy bezpieczeństwa producenta, ponieważ podatny kod działa wewnątrz sandboxa.
Sprawa wpisuje się w szerszy trend rosnącego znaczenia bezpieczeństwa dodatków, umiejętności i rozszerzeń dla agentów AI. W praktyce oznacza to, że organizacje powinny traktować takie komponenty jak pełnoprawne zależności programistyczne, wymagające inwentaryzacji, audytu oraz stałego monitorowania.
Analiza techniczna
Sednem problemu jest skrypt pomocniczy wykorzystywany do konwersji dokumentów z użyciem LibreOffice. Gdy środowisko nie pozwala na otwarcie gniazd Unix-domain, mechanizm przełącza się na ścieżkę awaryjną, w której ładowana jest biblioteka współdzielona przy użyciu LD_PRELOAD. Sama metoda obejścia nie jest nowa, jednak jej implementacja okazała się niebezpieczna.
Badacze wskazali kilka kluczowych słabości. Biblioteka ma stałą i przewidywalną nazwę, a skrypt wyszukuje ją w katalogu tymczasowym współdzielonym przez procesy. Jeżeli plik już istnieje, mechanizm nie sprawdza jego pochodzenia, właściciela ani integralności. Dodatkowo ścieżka awaryjna może zostać uruchomiona nie tylko przy celowym blokowaniu gniazd, ale również przy innych błędach środowiskowych.
Praktyczny scenariusz ataku jest stosunkowo prosty. Napastnik doprowadza do umieszczenia złośliwej biblioteki lo_socket_shim.so w katalogu tymczasowym. Następnie użytkownik uruchamia operację tworzenia lub przetwarzania dokumentu. Jeśli środowisko spełnia warunki aktywacji obejścia, LibreOffice ładuje podstawiony plik jeszcze przed rozpoczęciem właściwej konwersji, co prowadzi do wykonania kodu atakującego.
Istotnym elementem opisanego ryzyka jest możliwość budowania łańcuchów ataku między różnymi modułami AI. Badacze pokazali wariant, w którym pozornie nieszkodliwa umiejętność rozpakowuje pliki pomocnicze do katalogu tymczasowego, przygotowując grunt pod wykorzystanie podatności w innym komponencie. To pokazuje, że bezpieczeństwo agentów AI należy oceniać nie tylko na poziomie pojedynczych funkcji, ale także ich wzajemnych interakcji.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją podatności jest lokalne lub pośrednie wykonanie kodu w kontekście użytkownika korzystającego z agenta AI. Otwiera to drogę do dostępu do plików roboczych, danych projektowych, tokenów sesyjnych oraz innych zasobów dostępnych dla procesu. W środowiskach firmowych może to oznaczać kradzież danych, manipulację dokumentami, rozszerzenie zasięgu ataku lub uruchomienie kolejnych etapów infekcji.
- Ryzyko rośnie w środowiskach Linux wykorzystywanych do pracy z agentami AI.
- Szczególnie narażone są kontenery i sandboxy z ograniczeniami komunikacji lokalnej.
- Współdzielone katalogi tymczasowe zwiększają prawdopodobieństwo skutecznego podstawienia biblioteki.
- Brak pełnej widoczności używanych umiejętności i dodatków utrudnia wykrycie zagrożenia.
Dodatkowym problemem jest fałszywe poczucie bezpieczeństwa wynikające z faktu, że luka dotyczy oficjalnych komponentów. W wielu organizacjach takie rozszerzenia mogą być automatycznie uznawane za zaufane, co osłabia procesy kontroli i przeglądu bezpieczeństwa.
Rekomendacje
Organizacje korzystające z agentów AI oraz funkcji generowania dokumentów powinny potraktować ten przypadek jako sygnał do przeglądu architektury bezpieczeństwa. Ochrona nie powinna ograniczać się do samego modelu językowego, lecz obejmować cały łańcuch wykonania, w tym skrypty pomocnicze, zależności i środowisko uruchomieniowe.
- Przeprowadzić pełną inwentaryzację umiejętności, wtyczek i dodatków używanych przez agentów AI.
- Traktować oficjalne rozszerzenia tak samo jak zewnętrzne pakiety i zależności.
- Monitorować podatności dotyczące narzędzi AI, pluginów i ich łańcucha dostaw.
- Ograniczyć współdzielenie katalogów tymczasowych między procesami i użytkownikami.
- Wzmocnić izolację środowisk wykonawczych oraz kontrolę dostępu do katalogu /tmp.
- Wykrywać nieautoryzowane biblioteki i pliki współdzielone w lokalizacjach tymczasowych.
- Przejrzeć mechanizmy wykorzystujące LD_PRELOAD i usunąć przewidywalne ścieżki ładowania.
- Wdrożyć telemetrię dla procesów konwersji dokumentów i anomalii związanych z LibreOffice.
Z perspektywy hardeningu warto rozważyć również montowanie katalogów tymczasowych z restrykcyjnymi opcjami, separację przestrzeni nazw, polityki MAC oraz kontrolę integralności plików. W środowiskach podwyższonego ryzyka uzasadnione może być także ograniczenie automatycznego użycia funkcji dokumentowych przez agentów wyłącznie do zatwierdzonych scenariuszy.
Podsumowanie
„Office Party” pokazuje, że klasyczne błędy związane z ładowaniem bibliotek i obsługą katalogów tymczasowych mogą powracać w nowoczesnym ekosystemie agentów AI. Problem nie wynika z samego modelu językowego, lecz z niebezpiecznej implementacji mechanizmu pomocniczego obsługującego dokumenty biurowe. Dla zespołów bezpieczeństwa najważniejsza lekcja jest jasna: oficjalne komponenty AI nie powinny być traktowane jako zaufane bez audytu, monitorowania i odpowiedniej izolacji.
Źródła
- Dark Reading — Claude Flaw Threatens Linux Orgs with Malicious Code Execution: https://www.darkreading.com/endpoint-security/attackers-claude-office-party-flaw-malicious-code-linux
- AIR Security — Office Party: A Code-Execution Vulnerability in Anthropic’s Official Office Skills Runs a Planted Binary: https://www.air.security/blog-posts/office-party