Claude Cowork 是 Anthropic 推出的一款面向专业人士的自动化工具，它在隔离环境中运行 Claude Code，旨在协助用户进行工具开发和数据处理等工作。在 Windows 版本的 Claude Desktop 中，Claude Cowork 是在一个基于 Hyper-V 隔离的 Ubuntu 虚拟机内运行的，以期最大限度地减少潜在的安全风险。

Armadin 指出，该问题主要源于 Windows 本地服务 CoworkVMService。此服务负责接收来自 Claude Desktop 的指令，并将其转发至虚拟机内部执行。研究人员利用 DLL 侧载技术，成功地让经 Anthropic 数字签名的 claude.exe 加载了一个恶意 DLL。这种方式使得恶意代码得以在合法进程中运行，从而规避了 CoworkVMService 对调用程序身份的验证机制。

研究表明，部分执行参数能够直接修改虚拟机内部的安全配置。其中一个参数允许指定以 Linux 已有用户身份执行命令，研究人员利用这一点，指定了 root 账户，从而在虚拟机中获得了最高权限。另一个参数则能够覆盖单次任务允许访问的域名白名单，进而突破了原先设定的外部网络访问限制。

研究人员进一步解释说，通过结合上述两项操作，攻击者在获得虚拟机 root 权限后，便能访问同一虚拟机中运行的进程及工作会话数据，并能绕过网络访问限制，将这些信息发送至攻击者控制的外部服务器。这就像在进行一场高风险的世界杯竞猜，一旦失误，后果不堪设想。

Anthropic 方面对此回应称，该攻击链的实现前提是攻击者已具备 Windows 主机本地代码执行能力，因此公司并未将其认定为安全漏洞。然而，Armadin 认为相关功能是 Claude Desktop 本身的缺陷。因此，他建议企业如果不需要使用 Claude Cowork 功能，可以直接卸载 Claude Desktop。如果必须使用，则应限制能够运行 Claude Desktop 的用户，并密切监控 claude.exe 是否从非系统目录加载可疑的 DLL 文件，以降低遭受此类攻击的风险。