Noma Labs 披露了名为 SneakPeek 的 Claude Code Desktop 预览窗格漏洞利用链。据研究团队介绍，攻击者可将恶意 HTML 伪装成覆盖率报告放入公开仓库，用户克隆仓库并让 Claude 查看报告后，自动触发的预览就可能执行脚本、读取本地文件并外传。Noma 称，Anthropic 使用 CVSS v4.0 将漏洞评为 8.7 分（高危），把影响视为等同于主机上的代码执行，并已发布修复。
据 Noma 分析，问题涉及预览窗格处理不同大小文件的两条路径：小于 256 KB 的文件以 data: URL 加载；大于 256 KB 的文件则先写入临时文件，再以 file:// URL 加载。用于禁止脚本执行的内容安全策略（CSP）script-src 'none' 只覆盖前一条路径，后一条路径没有这项限制，内嵌 JavaScript 因而能够运行。
另一处缺口在请求过滤器。Noma 称，预览窗格代理本地开发服务器时，过滤器会阻止本地文件读取；直接渲染磁盘上的静态 HTML 时，过滤器却不会启用，页面中的 fetch() 请求可以访问真实文件系统。
研究团队将上述缺口串联，在演示仓库中放入超过 256 KB、含有恶意脚本的覆盖率报告。用户要求 Claude 查看报告后，预览窗格自动渲染文件，脚本随即运行。Noma 表示，这一过程不需要用户额外批准权限。
据 Noma 的演示，脚本能够读取 SSH 私钥、AWS 密钥、npm 与 GitHub 令牌、Kubernetes 集群凭据、Docker 注册表认证，以及 Git 身份信息和令牌，再通过 navigator.sendBeacon() 发往攻击者服务器。文章还称，Claude 自身的 OAuth 令牌及通过 WebRTC 暴露的真实 IP 地址也可能外泄。
Noma 于 2026 年 7 月 4 日提交初始报告，Anthropic 于 7 月 9 日给出高危评级。首轮补丁拦截了主页面上下文中指向 file:// 路径的 fetch() 和 XMLHttpRequest 调用。
7 月 24 日，Anthropic 请求复测；Noma 同日报告，将读取请求移入通过 blob: URL 创建的 Web Worker 后，仍可绕过请求过滤器。Worker 读取文件后把内容交回主线程，继续通过 sendBeacon() 外传。
据 Noma 公布的时间线，Anthropic 于 8 月 3 日确认首轮修复不完整，随后于 8 月 17 日在 Claude Desktop 1.30096.1 及之后版本中发布修复，通过自动更新分发。Noma 表示，最终复测后，Anthropic 已修复全部问题，并将漏洞标记为已解决。文章时间线将 GitHub Advisory 与 CVE 列为 2026 年 10 月待发布。
