노마 랩스가 SneakPeek 라고 이름 붙인 이 취약점은, 공개 저장소에 커버리지 보고서처럼 꾸민 256KB 넘는 HTML 파일을 숨겨 두는 방식이에요. 피해자가 저장소를 받아 클로드에게 그 파일을 봐 달라고 하면 미리보기 창이 file:// 로 파일을 열고, CSP 가 없는 상태에서 스크립트가 SSH 키·클라우드·레지스트리 자격 증명과 클로드 OAuth 토큰을 읽어 밖으로 보낼 수 있었어요. 별도 권한 승인 창은 뜨지 않았고, 노마는 WebRTC 로 실제 IP 도 드러날 수 있다고 밝혔어요. 7월 4일 제보 뒤 CVSS 8.7 로 분류됐고, 7월 24일 첫 패치는 blob: 워커로 우회돼 8월 17일 자동 업데이트로 나간 클로드 데스크톱 1.30096.1 에서 해결됐어요. CVE 와 깃허브 보안 권고는 아직 공개 전이고, 앤트로픽 릴리스 노트에는 이 수정이 따로 적혀 있지 않아요.
용어 풀이
- CSP
- Content Security Policy. 웹 페이지가 실행하거나 불러올 수 있는 스크립트·주소를 제한하는 브라우저 보안 규칙
- CVSS
- 취약점 심각도를 0~10 점으로 매기는 공통 기준
- OAuth 토큰
- 로그인한 계정 권한을 대신 증명하는 접근 열쇠
- WebRTC
- 브라우저끼리 직접 음성·영상·데이터를 주고받는 기술. 실제 IP 가 드러날 수 있음
- CVE
- 공개된 보안 취약점에 붙이는 공통 식별 번호
운영자 인사이트
맥OS 는 Claude 메뉴, 윈도는 Help 메뉴의 Check for Updates 로 클로드 데스크톱이 1.30096.1 이상인지 확인하세요. 8월 17일 이전 버전에서 출처가 불분명한 저장소의 큰 HTML 파일을 미리보기로 연 적이 있다면, 그 기기의 SSH 키·클라우드 자격 증명 교체를 검토할 만해요.