Claude Cowork 是 Anthropic 为专业人士设计的自动化工具，能在隔离环境中运行 Claude Code，辅助用户开发工具和处理数据等任务。在 Windows 版 Claude Desktop 中，Claude Cowork 依赖 Hyper-V 隔离的 Ubuntu 虚拟机来运行，目的是减少潜在的安全风险。

Armadin 指出，问题主要出在名为 CoworkVMService 的 Windows 本地服务上。该服务负责处理来自 Claude Desktop 的请求，并将指令传递到虚拟机内部执行。安全研究人员利用 DLL 侧载技术，使得经过 Anthropic 数字签名的 claude.exe 程序加载恶意 DLL 文件。这使得恶意代码得以在合法进程内运行，从而规避了 CoworkVMService 对调用程序身份的验证机制。

研究表明，某些执行参数能够直接更改虚拟机内部的安全设置。其中一个参数允许以 Linux 的现有用户身份执行命令，研究人员利用此功能指定 root 用户，从而在虚拟机中获得最高权限。另一个参数则可以覆盖单次任务允许访问的域名白名单，这打破了原先设定的外部网络访问限制。

研究人员进一步解释，通过结合上述两项操作，攻击者在获得虚拟机 root 权限后，便能访问同一虚拟机中运行的进程和工作会话数据。同时，他们还能绕过网络访问限制，将收集到的信息发送至由攻击者控制的外部服务器。

Anthropic 对此回应称，这一攻击路径的前提是攻击者已经能够执行 Windows 主机上的本地代码，因此公司不将其视为安全漏洞。然而，Armadin 认为这属于 Claude Desktop 本身的功能缺陷。因此，他建议企业如果不需要使用 Claude Cowork，可以直接卸载 Claude Desktop。如果必须使用，则应限制能够运行 Claude Desktop 的用户，并密切关注 claude.exe 是否从非系统目录加载可疑的 DLL 文件，以降低遭受此类攻击的风险。